首页 > 安全研究 > 安全通报 > 安全通告

Oracle | 10月多个安全漏洞通告

发布时间 2020-10-21

0x00 漏洞概述

2020年10月20日，Oracle发布10月份的安全更新，修复了多个产品中的安全漏洞。此次发布的漏洞补丁共计402个，主要涉及Oracle Database Server、Oracle Communications、Oracle Fusion Middleware、Oracle Weblogic、Oracle E-Business Suite和Oracle MySQL等产品，其中多个漏洞评级为严重。

 

0x01 漏洞详情

 

image.png

 

Oracle Database Server

此次更新中包含Oracle数据库的18个的安全补丁。其中有4个漏洞无需身份验证即可远程利用。部分严重漏洞如下：

漏洞编号

产品

组件

评分

影响范围

CVE-2020-13935

Workload Manager (Apache Tomcat)

None

7.5

12.2.0.1, 18c, 19c

CVE-2020-14734

Oracle Text

None

8.1

11.2.0.4, 12.1.0.2, 12.2.0.1, 18c, 19c

CVE-2020-14735

Scheduler

Local Logon

8.8

11.2.0.4, 12.1.0.2, 12.2.0.1, 18c, 19c

 

 

Oracle Communications及 Oracle Communications Applications

此次更新中包含Oracle Communications的52个的安全补丁和9个Oracle Communications Applications安全补丁，其中有41个Oracle Communications漏洞无需身份验证即可远程利用。部分严重漏洞如下：

漏洞编号

产品

组件

评分

影响范围

CVE-2020-2555

Oracle WebCenter Portal

Database Module (Oracle Coherence)

9.8

12.2.1.3.0，

12.2.1.4.0

CVE-2020-10683

Oracle Communications Unified Inventory Management

Core (dom4j)

9.8

7.3.0，7.4.0

CVE-2020-10878

Oracle Communications Billing and Revenue Management

Core (Perl)

8.6

12.0.0.2.0， 12.0.0.3.0

CVE-2020-11973

Oracle Communications Diameter Signaling Router (DSR)

IDIH (Apache Camel)

9.8

IDIH: 8.0.0-8.2.2

CVE-2020-11984

Oracle Communications Element Manager

Core (Apache HTTP Server)

9.8

8.2.0-8.2.2

 

 

Oracle Fusion Middleware

此次更新中包含Oracle Fusion Middleware的46个安全补丁。其中有36个漏洞无需身份验证即可远程利用。其中涉及了多个Weblogic反序列化漏洞，这些漏洞允许未经身份验证的攻击者通过HTTP、IIOP、T3协议发送恶意请求，从而在Oracle WebLogic Server执行代码。部分严重漏洞如下：

漏洞编号

产品

组件

评分

影响范围

CVE-2020-14820

Oracle WebLogic Server

Core

7.5

10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2020-14825

Oracle WebLogic Server

Core

9.8

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2020-14841

Oracle WebLogic Server

Core

9.8

10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2020-14859

Oracle WebLogic Server

Core

9.8

10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2020-14882

Oracle WebLogic Server

Console

9.8

10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

 

 

Oracle E-Business Suite

此次更新包含Oracle E-Business Suite的27个安全补丁。其中的25个漏洞无需身份验证即可远程利用。部分严重漏洞如下：

漏洞编号

产品

组件

评分

影响范围

CVE-2020-14805

Oracle E-Business Suite Secure Enterprise Search

Search Integration Engine

9.1

12.1.3, 12.2.3 - 12.2.10

CVE-2020-14855

Oracle Universal Work Queue

Work Provider Administration

9.8

12.1.3

CVE-2020-14862

Oracle Universal Work Queue

Internal Operations

8.8

12.2.3 - 12.2.9

CVE-2020-14875

Oracle Marketing

Marketing Administration

9.1

12.1.1 - 12.1.3, 12.2.3 - 12.2.10

CVE-2020-14876

Oracle Trade Management

User Interface

9.1

12.1.1 - 12.1.3, 12.2.3 - 12.2.10

 

 

Oracle MySQL

此次更新中包含Oracle Mysql的54个的安全补丁。其中有4个漏洞无需身份验证即可远程利用。部分严重漏洞如下：

漏洞编号

产品

组件

评分

影响范围

CVE-2020-8174

MySQL Cluster

Cluster: JS module (Node.js)

9.8

7.3.30 and prior,

7.4.29 and prior,

7.5.19 and prior,

7.6.15 and prior,

8.0.21 and prior

CVE-2020-13935

MySQL Enterprise Monitor

Monitoring: General (Apache Tomcat)

7.5

8.0.21 and prior

CVE-2020-14878

MySQL Server

Server: Security: LDAP Auth

8.0

8.0.21 and prior

 

此外，在本次发布的多个安全漏洞中还包括2个评分为10（满分10分）的漏洞，如下：

漏洞编号

产品

组件

评分

影响范围

CVE-2020-1953

Oracle Healthcare Foundation

Self Service Analytics (Apache Commons Configuration)

10.0

7.1.1，7.2.0，7.2.1，7.3.0

CVE-2020-14871

Oracle Solaris

Pluggable authentication module

10.0

10，11

 

Oracle Healthcare Foundation Self Service Analytics漏洞（CVE-2020-1953）

该漏洞是由于Oracle Healthcare Foundation的自助分析服务（Apache Commons Configuration）使用第三方库来解析YAML文件，如果YAML包含特殊语句，则默认情况下它允许实例化类。攻击者可以通过诱导用户从不受信任的源加载YAML文件来利用此漏洞。成功利用此漏洞的攻击者能够在主机应用程序的控制范围之外加载并执行代码。

影响范围：

Apache Commons Configuration2.2，2.3，2.4，2.5，2.6

Oracle Healthcare Foundation 7.1.1，7.2.0，7.2.1，7.3.0

参考链接：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1953

 

Oracle Solaris Pluggable authentication module漏洞(CVE-2020-14871)

该漏洞的细节暂时未公开。

影响范围：

Oracle Solaris10，11

参考链接：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-14871

 

0x02 处置建议

建议参考官方发布的补丁更新信息及时修复或升级至安全版本。

链接地址：

https://www.oracle.com/security-alerts/cpuoct2020.html

下载地址：

https://www.oracle.com/cn/downloads/

其它措施：

如果不依赖T3协议和IIOP协议进行JVM通信，则建议禁用。

 

0x03 参考链接

https://www.oracle.com/security-alerts/cpuoct2020.html

https://www.oracle.com/security-alerts/

https://us-cert.cisa.gov/ncas/current-activity/2020/10/20/oracle-releases-october-2020-security-bulletin-0

 

0x04 时间线

2020-10-20  Oracle发布安全更新

2020-10-21  VSRC发布安全通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

 

image.png

上一篇 下一篇