【清静通告】Oracle全系产品2020年10月要害补丁更新通告

2020-10-21

一. 概述

2020年10月21日，AG公司科技监测到Oracle官方宣布了2020年10月要害补丁更新通告CPU（Critical Patch Update），此次更新修复了402个差别水平的误差，其中271个误差可被远程未经身份认证的攻击者使用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个产品。各产品受影响情形及可用补丁请见附录。Oracle强烈建议客户尽快应用要害补丁更新修复程序，对误差举行修复。

参考链接：

https://www.oracle.com/security-alerts/cpuoct2020.html

二. CPU修复误差总结

此次要害补丁更新（CPU）修复的误差中CVSS评分为9.8及以上的误差有247个，涉及Oracle Weblogic Server、Oracle MySQL、Oracle Systems、Oracle Fusion Middleware等多个产品。

其中Weblogic Serve保存多个高危误差，WebLogic IIOP JNDI 注入误差（CVE-2020-14841），(CVE-2020-14825) 与(CVE-2020-14859)导致攻击者可以在未授权的情形下通过IIOP/T3协议对保存误差的WebLogic组件举行远程攻击，通过禁用IIOP/T3协议举行防护可参考文章的4.2节https://mp.weixin.qq.com/s/ruQdLU4Rn3S62bRt7oz7oQ；（CVE-2019-17267）与(CVE-2020-14882)可导致攻击者能发送HTTP请求攻击WebLogic Server；别的尚有以下WebLogic Server误差需要举行关注：（CVE-2020-14820、CVE-2020-14883、CVE-2020-14757、CVE-2020-11022）。

Oracle官方10月要害补丁更新误差总结如下：

产品	误差个数	未授权远程使用个数	最高CVSS评分
Oracle Database server	28	3	8.8
Oracle Big Data Graph	5	1	9.8
Oracle REST Data Services	7	2	9.8
Oracle TimesTen In-Memory Database	4	4	9.8
Oracle Communications Applications	9	8	9.8
Oracle Communications	52	41	9.8
Oracle Construction and Engineering	9	7	9.8
Oracle E-Business Suite	27	25	9.8
Oracle Enterprise Manager	11	10	9.8
Oracle Financial Services Applications	52	48	9.8
Oracle Food and Beverage Applications	4	3	6.1
Oracle Fusion Middleware	46	36	9.8
Oracle GraalVM	1	1	5.3
Oracle Health Sciences	4	4	10.0
Oracle Hospitality Applications	6	3	9.4
Oracle Hyperion	9	1	9.8
Oracle Insurance Applications	6	6	9.8
Oracle Java SE	8	8	5.3
Oracle MySQL	54	4	9.8
Oracle PeopleSoft	15	12	9.8
Oracle Policy Automation	6	6	6.1
Oracle Retail Applications	28	25	9.8
Oracle Siebel CRM	3	3	9.8
Oracle Supply Chain	4	3	9.8
Oracle Systems	10	4	10.0
Oracle Utilities Applications	5	3	9.8
Oracle Virtualization	7	0	8.2