服務(wù)公告
Oracle多個(gè)產(chǎn)品高危漏洞補(bǔ)丁安全預(yù)警
2020-10-21
一、概要
近日，華為云關(guān)注到Weblogic未授權(quán)命令執(zhí)行漏洞PoC已公開(kāi)（漏洞編號(hào)：CVE-2020-14882/CVE-2020-14883），安全風(fēng)險(xiǎn)升高，請(qǐng)受影響的用戶盡快升級(jí)至安全版本。
10月21日，華為云監(jiān)測(cè)到Oracle官方發(fā)布了10月份的安全更新，披露了多款旗下產(chǎn)品的安全漏洞， 其中包括5個(gè)WebLogic的嚴(yán)重漏洞（CVE-2020-14825、CVE-2020-14841、CVE-2020-14859、CVE-2020-14882、CVE-2019-17267），未經(jīng)身份驗(yàn)證的攻擊者可通過(guò)HTTP、IIOP、T3協(xié)議發(fā)送構(gòu)造好的惡意請(qǐng)求實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行，風(fēng)險(xiǎn)較高。
華為云提醒使用Weblogic及Oracle相關(guān)產(chǎn)品的用戶及時(shí)安排自檢并做好安全加固。
參考鏈接：
https://www.oracle.com/security-alerts/cpuoct2020.html
本次Oracle季度安全更新修復(fù)了402個(gè)危害程度不同的安全漏洞，主要涵蓋了 Oracle Weblogic 、 Oracle Endeca Information Discovery Integrator 、 Oracle WebCenter Portal 、 Oracle BI Publisher 、 Oracle Business Intelligence Enterprise Edition 等產(chǎn)品，具體漏洞信息請(qǐng)參考上述官方鏈接。
二、威脅級(jí)別
威脅級(jí)別：【嚴(yán)重】
（說(shuō)明：威脅級(jí)別共四級(jí)：一般、重要、嚴(yán)重、緊急）
三、漏洞說(shuō)明
CVE編號(hào) | 影響產(chǎn)品 | 嚴(yán)重程度 | 受影響版本 |
CVE-2020-14882 | Oracle WebLogic Server | 嚴(yán)重 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2020-14841 | Oracle WebLogic Server | 嚴(yán)重 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2020-14825 | Oracle WebLogic Server | 嚴(yán)重 | 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2020-14859 | Oracle WebLogic Server | 嚴(yán)重 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2020-14820 | Oracle WebLogic Server | 嚴(yán)重 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2020-10683 | Oracle Health Sciences Empirica Signal | 嚴(yán)重 | 9.0 |
CVE-2020-14855 | Oracle Universal Work Queue | 嚴(yán)重 | 12.1.3 |
CVE-2019-13990 | Enterprise Manager Ops Center | 嚴(yán)重 | 12.4.0.0 |
CVE-2019-17495 | Oracle Banking Platform | 嚴(yán)重 | 2.4.0-2.10.0 |
CVE-2020-8174 | MySQL Cluster | 嚴(yán)重 | 7.3.30 and prior, 7.4.29 and prior, 7.5.19 and prior, 7.6.15 and prior, 8.0.21 and prior |
CVE-2020-14735 | Scheduler | 高危 | 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c, 19c |
（注：以上為部分嚴(yán)重漏洞，其他漏洞及詳情請(qǐng)參見(jiàn)官方說(shuō)明）
四、漏洞影響范圍
Oracle Weblogic 、 Oracle Endeca Information Discovery Integrator 、 Oracle WebCenter Portal等產(chǎn)品
五、漏洞處置
官方已發(fā)布補(bǔ)丁修復(fù)程序，需用戶持有正版軟件的許可賬號(hào)，登陸https://support.oracle.com后，下載最新補(bǔ)丁。
注：修復(fù)漏洞前請(qǐng)將資料備份，并進(jìn)行充分測(cè)試。