【安全通告】Oracle全系产品2020年10月关键补丁更新通告
![](/statics/fer2/images/icons_08.jpg)
2020-10-21
一. 概述
2020年10月21日,绿盟科技监测到Oracle官方发布了2020年10月关键补丁更新公告CPU(Critical Patch Update),此次更新修复了402个不同程度的漏洞,其中271个漏洞可被远程未经身份认证的攻击者利用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个产品。各产品受影响情况及可用补丁请见附录。Oracle强烈建议客户尽快应用关键补丁更新修复程序,对漏洞进行修复。
参考链接:
https://www.oracle.com/security-alerts/cpuoct2020.html
二. CPU修复漏洞总结
此次关键补丁更新(CPU)修复的漏洞中CVSS评分为9.8及以上的漏洞有247个,涉及Oracle Weblogic Server、Oracle MySQL、Oracle Systems、Oracle Fusion Middleware等多个产品。
其中Weblogic Serve存在多个高危漏洞,WebLogic IIOP JNDI 注入漏洞(CVE-2020-14841),(CVE-2020-14825) 与(CVE-2020-14859)导致攻击者可以在未授权的情况下通过IIOP/T3协议对存在漏洞的WebLogic组件进行远程攻击,通过禁用IIOP/T3协议进行防护可参考文章的4.2节https://mp.weixin.qq.com/s/ruQdLU4Rn3S62bRt7oz7oQ;(CVE-2019-17267)与(CVE-2020-14882)可导致攻击者能发送HTTP请求攻击WebLogic Server;此外还有以下WebLogic Server漏洞需要进行关注:(CVE-2020-14820、CVE-2020-14883、CVE-2020-14757、CVE-2020-11022)。
Oracle官方10月关键补丁更新漏洞总结如下:
产品 |
漏洞个数 |
未授权远程利用个数 |
最高CVSS评分 |
Oracle Database server |
28 |
3 |
8.8 |
Oracle Big Data Graph |
5 |
1 |
9.8 |
Oracle REST Data Services |
7 |
2 |
9.8 |
Oracle TimesTen In-Memory Database |
4 |
4 |
9.8 |
Oracle Communications Applications |
9 |
8 |
9.8 |
Oracle Communications |
52 |
41 |
9.8 |
Oracle Construction and Engineering |
9 |
7 |
9.8 |
Oracle E-Business Suite |
27 |
25 |
9.8 |
Oracle Enterprise Manager |
11 |
10 |
9.8 |
Oracle Financial Services Applications |
52 |
48 |
9.8 |
Oracle Food and Beverage Applications |
4 |
3 |
6.1 |
Oracle Fusion Middleware |
46 |
36 |
9.8 |
Oracle GraalVM |
1 |
1 |
5.3 |
Oracle Health Sciences |
4 |
4 |
10.0 |
Oracle Hospitality Applications |
6 |
3 |
9.4 |
Oracle Hyperion |
9 |
1 |
9.8 |
Oracle Insurance Applications |
6 |
6 |
9.8 |
Oracle Java SE |
8 |
8 |
5.3 |
Oracle MySQL |
54 |
4 |
9.8 |
Oracle PeopleSoft |
15 |
12 |
9.8 |
Oracle Policy Automation |
6 |
6 |
6.1 |
Oracle Retail Applications |
28 |
25 |
9.8 |
Oracle Siebel CRM |
3 |
3 |
9.8 |
Oracle Supply Chain |
4 |
3 |
9.8 |
Oracle Systems |
10 |
4 |
10.0 |
Oracle Utilities Applications |
5 |
3 |
9.8 |
Oracle Virtualization |
7 |
0 |
8.2 |
三. 漏洞防护
请用户参考本文附录“受影响产品及补丁信息”及时下载受影响产品更新补丁,并参照补丁安装包中的readme文件进行安装更新,以保证长期有效的防护。
注:Oracle官方补丁需要用户持有正版软件的许可账号,使用该账号登陆https://support.oracle.com后,可以下载最新补丁。