Bien sûr, AppSec a intérêt à ce que les responsables de la sécurité réévaluent les avis publiés par Oracle. La société propose un logiciel d'audit et de conformité pour vérifier la sécurité des bases de données, et propose même sa propre notation pour requalifier la gravité des vulnérabilités de la base de données d'Oracle. Mais la société connait parfaitement les vulnérabilités d'Oracle : ses chercheurs ont trouvé quatre des six vulnérabilités de la base de données d'Oracle, corrigées par le dernier patch de la dernière mise à jour.

D'autres analystes s'inquiètent des pratiques d'Oracle

AppSec n'est pas la seule à s'interroger sur la notation unique Partial+ établie par Oracle. « En créant la note Partial +, Oracle a en effet créé son propre système de mesure, » a déclaré Adrian Lane, directeur de la technologie et analyste pour la société de recherche en sécurité Securosis. L'analyste, qui a également abordé la question dans un post récent, fait remarquer que le CVSS ne fournit peut-être qu'une estimation de la gravité de la vulnérabilité, mais il sert encore de référence aux administrateurs. « En changeant la base d'évaluation du CVSS, Oracle a porté atteinte à l'unité de mesure standard, » a-t-il déclaré. Adrian Lane estime, comme Alex Rothacker, qu'une vulnérabilité qui affecte toutes les tables d'une base de données doit être considérée comme une vulnérabilité au niveau du système. « Si la vulnérabilité affecte seulement quelques tables, alors elle devrait être considérée comme une vulnérabilité partielle, mais si elle touche la base de données toute entière, un exploit pourrait perturber toute la plateforme, et devrait de ce fait être qualifié par une note Complète, » estime-t-il également.