Oracle 重要补丁更新公告 — 2011 年 4 月

说明

重要补丁更新是针对多个安全漏洞的补丁集合。重要补丁更新补丁是累积式的，但是每个公告只描述自上一个重要补丁更新公告以来添加的安全修复程序。因此，要了解有关以前发布的安全修复程序的信息，应该查看以前的重要补丁更新公告。请参见：

重要补丁更新和安全警报，以获得有关 Oracle 安全性公告的信息。

考虑到攻击得逞所带来的威胁，Oracle 强烈建议用户尽快应用 CPU 修复程序。 该重要补丁更新包含针对下列所有产品系列的 73 个新的安全修复程序。

受影响的产品和组件

该重要补丁更新解决的安全漏洞将影响以下按类别列出的产品。针对所列版本的补丁的产品领域显示在与指定的“产品和版本”列对应的“可用补丁”列中。请单击下面的“可用补丁”列中或可用补丁表中的链接，查看这些补丁的文档。

Oracle 终身支持政策的首选支持或扩展支持中受影响的产品版本：

可用补丁表与风险表

使用累积式补丁的产品

重要补丁更新中的 Oracle 数据库、Oracle 融合中间件、Oracle Enterprise Manager Grid Control、Oracle E-Business Suite 管理软件、JD Edwards EnterpriseOne、JD Edwards OneWorld Tools、PeopleSoft Enterprise Portal 管理软件、PeopleSoft Enterprise PeopleTools 和 Siebel Enterprise、Oracle 行业管理软件和 Oracle VM 补丁均是累积式的；重要补丁更新中包括的任何产品补丁都包含之前的重要补丁更新中针对该产品的修复程序。有关累积式和非累积式补丁的详细信息，请检查下表中各产品组的可用补丁文档。

可用补丁表

对于所管理的每个 Oracle 产品，请查阅下表中提到的有关可用补丁信息和安装说明的文档。有关与该重要补丁更新相关的 Oracle 产品文档概述，请参阅 2011 年 4 月 Oracle 重要补丁更新文档概述 My Oracle Support 说明 1305064.1。

风险表内容

风险表只列出与公告涉及到的补丁新修复的安全漏洞。之前的安全修复程序的风险表包含在之前的重要补丁更新公告中。在此可获取本文档中提供的风险表的英语文本版本。

该重要补丁更新提出的几个漏洞影响着多个产品。一个影响多个产品的漏洞将在所有风险表中显示相同的漏洞号。斜体 表明其他产品领域中包含的代码中的漏洞。

安全漏洞使用 CVSS 2.0 版进行评估（请参阅用于解释 Oracle 如何应用 CVSS 2.0 的 Oracle CVSS 评估系统）。Oracle 对重要补丁更新 (CPU) 解决的各个安全漏洞进行了分析。Oracle 不公开有关安全性分析的信息，但会在生成的风险表和相关文档中提供有关漏洞类型、利用漏洞所需的条件以及利用得逞的可能结果的信息。Oracle 部分地提供了这些信息，以便客户可以根据他们产品使用的特殊性分析其自己的风险。出于政策方面的原因，Oracle 不会透露有关可能会导致漏洞利用得逞的利用条件或结果的详细信息。Oracle 不提供除 CPU 或安全警报通知、可用补丁表、自述文件和常见问题解答所提供信息以外的其他具体漏洞信息。Oracle 不向个别客户提供有关 CPU 或安全警报的预先通知。最后，Oracle 不会针对产品漏洞发布可利用的入侵代码或“验证性”代码。有关详细信息，请参阅 Oracle 漏洞公开政策。

变通方法

考虑到攻击得逞所带来的威胁，Oracle 强烈建议客户尽快应用 CPU 修复程序。如果不应用 CPU 修复程序，则无法通过阻止攻击所需的网络协议来降低攻击得逞的风险。对于需要特定权限或者需要访问特定程序包的攻击，对不需要这些权限的用户删除这些权限或者使其无法访问这些程序包可能有助于降低攻击得逞的风险。这两种方法都有可能损害应用程序功能，因此 Oracle 强烈建议客户在非生产系统上测试更改。这两种方法都不能更正底层问题，因此都不能作为长期解决方案。

漏掉的重要补丁更新

Oracle 强烈建议客户尽快应用安全修复程序。如果客户漏掉了一个或多个重要补丁更新，担心该 CPU 中未公布其修复程序的产品出现安全问题，请查看以前的重要补丁更新公告以确定要采取的行动。

产品相关性

某些 Oracle 产品可能依赖于其他 Oracle 产品。因此，该重要补丁更新中发布的安全漏洞修复程序可能影响一个或多个相关的 Oracle 产品。有关这些相关产品以及对相关产品应用补丁的详细信息，请参阅 2011 年 4 月补丁集更新和重要补丁更新可用性文档，My Oracle Support 说明 1291877.1。

重要补丁更新支持的产品和版本

只有终身支持政策的首选支持或扩展支持阶段中涵盖的产品版本才提供重要补丁更新补丁。建议客户规划产品升级，以确保针对您的版本的重要补丁更新补丁可用。

没有对未涵盖在首选支持或扩展支持之下的产品版本测试过是否存在该重要补丁更新提出的安全漏洞。但是，很可能受影响的版本的那些早期版本也会受这些安全漏洞的影响。

受支持的数据库、融合中间件、EM Grid Control 和 Collaboration Suite 产品根据软件错误更正支持政策（参见 My Oracle Support 说明 209768.1）进行修补。有关支持政策和支持阶段的详细指南，请查看技术支持政策。

处于扩展支持阶段的产品

已购买终身支持政策下的扩展支持的客户可以使用重要补丁更新补丁。客户必须具有有效的扩展支持服务合同，才能在扩展支持阶段下载重要补丁更新补丁。

应请求 模式

Oracle 仅为客户要针对下一个重要补丁更新（基于历史数据）下载的平台/版本组合预先创建补丁。只要客户要求，我们将为以前固定的 Oracle 数据库、Oracle 应用服务器和 Enterprise Manager 的平台/版本组合创建补丁。

有关“应请求”补丁的更多详情，请参阅 2011 年 4 月补丁集更新和重要补丁更新可用性文档，My Oracle Support 说明 1291877.1。

致谢声明

该重要补丁更新修复的安全漏洞由以下人员或组织向 Oracle 报告：Red Database Security 的 Alexander Kornbrust；Digital Security 的 Alexandr Polyakov；Navy Federal Credit Union 的 Ariel Elias-Bachrach；与 Beyond Security 的 SecuriTeam Secure Disclosure 计划合作的 babi；Bryan Horstmann-Allen；Virtual Security Research 的 Dan Rosenberg；ITsec Security Services 的 David Vaartjes；Dmitri Gribenko；Application Security, Inc. 的 Esteban Martinez Fayo；与 TippingPoint 的零时差项目合作的 Jason Bowes；Seneca Risk & Security BV 的 Joris Knape；CYBSEC S.A. 的 Juan Manuel Garcia；Onapsis 的 Juan Pablo Perez Etchegoyen；Red Hat 的 Marc Schoenefeld；Clarus Limited 的 Mark Cranness；MAD Security 的 Mike Bailey；以前曾任职于 CYBSEC S.A. 的 Nahuel Grisolia；HSC Security Portal 的 Oleg P.；ITsec Security Services 的 Stijn Handgraaf；7safe 的 Sumit Siddharth；以前曾任职于 DNV 的 Tony Fogarty；Internet Security Auditors, S.L. 的 Vicente Aguilera Diaz；Wietse Venema；以及 CERT/CC 的 Will Dormann。

深度安全贡献者

Oracle 向那些为我们的深度安全计划作出贡献的人表示感谢（参见常见问题解答）。对于导致在以后版本中大量修改 Oracle 代码或文档但是严重程度不足以归类到重要补丁更新中的安全漏洞问题，如果有人提供相关的信息、发现或建议，则会因为深度安全作出贡献而受到褒奖。

对于该重要补丁更新，Oracle 向以下为 Oracle 深度安全计划作出贡献的人们表示感谢： Red Database Security 的 Alexander Kornbrust；Dennis Yurichev；Laszlo Toth；MAD Security 的 Mike Bailey；DORASEC Consulting 的 Okan Basegmez；以及 Taddong S.L. 的 Raul Siles。

重要补丁更新在距 1 月、4 月、7 月和 10 月的第 17 日最近的星期二发布。接下来的四个日期为：

• 2011 年 7 月 19 日
• 2011 年 10 月 18 日
• 2012 年 1 月 17 日
• 2012 年 4 月 17 日

参考资料

• Oracle 重要补丁更新和安全警报主页 [ Oracle 技术网 ]
• 重要补丁更新 — 2011 年 4 月文档概述 [ My Oracle Support 说明 1305064.1 ]
• Oracle 重要补丁更新和安全警报 — 常见问题解答 [ CPU 常见问题解答 ]
• 风险表定义 [ 风险表定义 ]
• 使用常见漏洞评估系统 (CVSS)，Oracle [ Oracle CVSS 评估 ]
• 风险表的英语文本版本   [ Oracle 技术网 ]
• 重要补丁更新和安全警报中修复的公共漏洞列表 [ Oracle 技术网 ]
• 软件错误更正支持政策 [ My Oracle Support 说明 209768.1 ]

修改记录