Oracle 發布 2021年4月重要補丁更新，騰訊安全專家建議用戶盡快修復
2021年04月21日，Oracle官方發布了2021年4月例行安全更新（https://www.oracle.com/security-alerts/cpu...）。在本次更新的45個漏洞補丁中，有36個漏洞無需身份驗證即可遠程利用。
Oracle每季度發布一次重要補丁更新，接下來4個日期是：2021年7月20日，2021年10月19日，2022年1月18日，2022年4月19日。
1 漏洞詳情
此次安全更新發布了390個漏洞補丁，其中Oracle Fusion Middleware有45個漏洞補丁更新，主要涵蓋了Oracle Weblogic Server、Oracle Outside In Technology、Oracle Coherence、Oracle Business Intelligence Enterprise Edition等產品。在本次更新的45個漏洞補丁中，有36個漏洞無需身份驗證即可遠程利用。
騰訊安全專家指出，Weblogic相關漏洞一直是數年來倍受黑客關注的高風險漏洞，相關漏洞一經披露，不久就會被網絡黑產利用。騰訊安全專家建議Oracle的用戶高度重視，并盡快升級修復。
通告存在漏洞的主要商業組件包括：
| 組件名 | 補丁個數 | 無須身份驗證即可遠程利用的補丁個數 |
|---|---|---|
| Oracle Database Products | 18 | |
| *Oracle Database Server * | 10 | 4 |
| Oracle Global Lifecycle Management | 1 | 1 |
| Oracle NoSQL Database | 4 | 3 |
| Oracle REST Data Services | 1 | 1 |
| Oracle Spatial Studio | 2 | 1 |
| Oracle SQL Developer | 1 | 1 |
| Oracle Commerce | 4 | 4 |
| Oracle Communications Applications | 13 | 12 |
| *Oracle Communications * | 22 | 9 |
| Oracle Construction and Engineering | 8 | 6 |
| Oracle E-Business Suite | 70 | 22 |
| Oracle Enterprise Manager | 9 | 8 |
| Oracle Financial Services Applications | 15 | 10 |
| Oracle Food and Beverage Applications | 2 | 1 |
| Oracle Fusion Middleware | 45 | 36 |
| Oracle Health Sciences Applications | 3 | 3 |
| *Oracle Hospitality Applications * | 6 | 4 |
| Oracle Hyperion | 2 | 1 |
| Oracle iLearning | 1 | |
| Oracle Insurance Applications | 1 | 1 |
| Oracle Java SE | 4 | 4 |
| Oracle JD Edwards | 10 | 10 |
| Oracle MySQL | 49 | 10 |
| Oracle PeopleSoft | 18 | 13 |
| Oracle Retail Applications | 35 | 31 |
| Oracle Siebel CRM | 8 | 7 |
| Oracle Storage Gateway | 6 | 2 |
| Oracle Supply Chain | 5 | 5 |
| *Oracle Support Tools * | 1 | |
| Oracle Systems | 5 | 1 |
| Oracle Utilities Applications | 5 | 5 |
| *Oracle Virtualization * | 24 | 5 |
Oracle Weblogic Server多個嚴重漏洞
Weblogic本次更新了多個嚴重漏洞，這些漏洞允許未經身份驗證的攻擊者通過IIOP或T3協議發送構造好的惡意請求，從而在Oracle WebLogic Server執行代碼或竊取關鍵數據。
嚴重漏洞編號如下：
CVE-2021-2136：
未經身份驗證的攻擊者通過IIOP協議發送惡意請求，最終接管服務器，評分9.8
CVE-2021-2135：
未經身份驗證的攻擊者通過T3或IIOP協議發送惡意請求，最終接管服務器，評分9.8
CVE-2021-2157：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終對關鍵數據進行未授權訪問，評分7.5
Oracle Communications Applications（Oracle通信應用軟件）多個嚴重漏洞
此重要補丁更新包含針對Oracle Communications Applications的13個新的安全補丁。
其中的12個漏洞無需身份驗證即可遠程利用，即可以通過網絡利用而無需用戶憑據。
嚴重漏洞編號如下：
CVE-2020-11612：
未經身份驗證的攻擊者通過HTTP協議發送惡意請求，最終接管Oracle Communications Design Studio，評分9.8
CVE-2020-28052：
未經身份驗證的攻擊者通過HTTPS協議發送惡意請求，最終接管Oracle Communications Messaging Server，評分9.8
CVE-2020-5421：
未經身份驗證的攻擊者通過HTTPS協議發送惡意請求，最終接管Oracle Communications Unified Inventory Management，評分8.8
Oracle E-Business Suite（Oracle電子商務套件）多個嚴重漏洞
此重要補丁更新包含針對Oracle E-Business Suite的70個新的安全補丁。
其中的22個漏洞無需身份驗證即可被遠程利用，即可以在不需要用戶憑據的情況下通過網絡利用這些漏洞。
嚴重漏洞編號如下：
CVE-2021-2200：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終對關鍵數據進行未授權訪問，評分9.1
CVE-2021-2205：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終對關鍵數據進行未授權訪問，評分9.1
CVE-2021-2209：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終對關鍵數據進行未授權訪問，評分8.5
Oracle Enterprise Manager（Oracle企業管理軟件）多個嚴重漏洞
此重要補丁更新包含針對Oracle Enterprise Manager的9個新的安全補丁。其中的8個漏洞無需身份驗證即可遠程利用，即可以通過網絡利用而無需用戶憑據。
嚴重漏洞編號如下：
CVE-2019-17195：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終接管企業管理器基礎平臺，評分9.8
CVE-2019-5064：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終接管Oracle應用測試套件，評分8.8
CVE-2020-10878：未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終對關鍵數據進行未授權訪問，評分8.6
Oracle Financial Services Applications（Oracle金融服務應用軟件）多個嚴重漏洞
此重要補丁更新包含針對Oracle Financial Services Applications的15個新的安全補丁。
其中的10個漏洞無需身份驗證即可遠程利用，即可以在不需要用戶憑據的情況下通過網絡利用這些漏洞。
嚴重漏洞編號如下：
CVE-2020-11998：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終接管Oracle FLEXCUBE私人銀行業務，評分9.8
CVE-2020-5413：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終接管Oracle FLEXCUBE私人銀行業務，評分9.8
CVE-2019-3773：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終接管Oracle FLEXCUBE私人銀行業務，評分9.8
CVE-2019-17638：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終對關鍵數據進行未授權訪問及拒絕服務攻擊，評分9.4
CVE-2020-26217：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終接管金融服務應用程序，評分8.8
CVE-2020-5421：
未經身份驗證的攻擊者可以通過HTTP發送惡意請求，最終接管Oracle FLEXCUBE私人銀行業務，評分8.8
2 漏洞等級
高危
3 騰訊安全網絡空間測繪
騰訊安全網絡空間測繪結果顯示，Weblogic在全球有廣泛的應用，美國占比最高（27.5%），美國、日本、愛爾蘭位居全球前三。在中國大陸地區，北京、上海、廣東居前三位，總占比超過80%。
騰訊安全網絡空間測繪平臺通過空間測繪技術，可針對該類漏洞進行監測與響應，如有需要可聯系 es@tencent.com 了解產品詳情。
4 漏洞修復建議
騰訊安全專家建議Oracle用戶盡快升級修復漏洞，可參考oracle官方發布的補丁更新指南:Oracle Critical Patch Update Advisory - April 2021（https://www.oracle.com/security-alerts/cpu...）。
Weblogic 漏洞臨時緩解建議：
- 如果不依賴T3協議進行JVM通信，可禁用T3協議：
在連接篩選器中輸入：weblogic.security.net.ConnectionFilterImpl，在連接篩選器規則框中輸入7001 deny t3 t3s保存生效。
重啟Weblogic項目，使配置生效。
- 如果不依賴IIOP協議進行JVM通信，可禁用IIOP協議：
進入WebLogic控制臺，在base_domain配置頁面中，進入安全選項卡頁面。
重啟Weblogic項目，使配置生效。
