Oracle 4月多个安全缝隙

颁布功夫 2021-04-21

0x00 缝隙概述

2021年04月20日 ，Oracle颁布了4月份的安全更新 ，本次颁布的安全补丁共计390个 ，涉及Oracle Fusion Middleware、Oracle E-Business Suite、Oracle Communications Applications和Oracle MySQL等多个产品和组件。

 

0x01 缝隙详情

image.png

 

在本次颁布的安全补丁中 ，Oracle Fusion Middleware有关的补丁为45个 ，其中36个缝隙无需身份验证即可远程利用。Weblogic Server部门缝隙详情如下：

Oracle WebLogic Server Coherence Container安全缝隙（CVE-2021-2135）

未经身份验证的攻击者能够通过T3或IIOP和谈发送恶意要求 ，最终节造服务器。该缝隙无需用户交互即可利用 ，其CVSS评分为9.8。

影响领域

12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0

 

Oracle WebLogic Server Core安全缝隙（CVE-2021-2136）

未经身份验证的攻击者能够通过IIOP和谈发送恶意要求 ，最终节造服务器。该缝隙无需用户交互即可利用 ，其CVSS评分为9.8。

影响领域

12.1.3.0.0、12.2.1.3.0、12.2.1.4.0、14.1.1.0.0

 

Oracle WebLogic Server TopLink Integration安全缝隙（CVE-2021-2157）

未经身份验证的攻击者能够通过HTTP发送恶意要求 ，最终能够未授权接见关键数据。该缝隙无需用户交互即可利用 ，其CVSS评分为7.5。

影响领域

10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0

 

此表 ，在Oracle本次颁布的安全补丁中：

与Oracle Communications Applications有关的补丁为13个 ，其中CVE-2020-11612和CVE-2020-28052评分为9.8 ，攻击者无需经过身份验证即可利用蕴含这2个缝隙在内的12个安全缝隙。

与E-Business Suite有关的补丁为70个 ，其中CVE-2021-2200和CVE-2021-2205评分为9.1 ，攻击者无需经过身份验证即可远程利用蕴含这2个缝隙在内的22个安全缝隙。

与Oracle MySQL有关的补丁为49个 ，无需经过身份验证即可利用的缝隙为10个 ，其中CVE-2021-3449和CVE-2021-3450（均为MySQL Server中的OpenSSL问题）评分别离为7.5和7.4, CVE-2021-2307为MySQL for Windows中的权限提升缝隙 ，该缝隙需经过验证能力利用 ，其CVSS评分为6.1。

 

0x02 措置建议

目前Oracle已经颁布有关安全补丁 ，建议尽快利用。

下载链接：

https://www.oracle.com/security-alerts/cpuapr2021.html

 

0x03 参考链接

https://www.oracle.com/security-alerts/cpuapr2021.html

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-2135

https://kb.cert.org/vuls/id/567764

 

0x04 功夫线

2021-04-20  Oracle颁布安全更新

2021-04-21  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png