Oracle 重要补丁更新公告 — 2010 年 1 月

描述

重要补丁更新是针对多个安全漏洞的补丁集合。它还包含这些安全补丁因依赖关系而需要的非安全修复程序。重要补丁更新是累积式的（除以下注明外），但是每个公告只描述自上一个重要补丁更新以来添加的安全修复程序。因此，要了解有关以前累积的安全修复程序的信息，应该查看以前的重要补丁更新公告。请参见：

考虑到攻击得逞所带来的威胁，Oracle 强烈建议用户尽快应用 CPU 修复程序。该重要补丁更新包含涉及所有产品的 24 个新安全修复程序。

受支持的产品和受影响的组件

该重要补丁更新解决的安全漏洞将影响以下按类别列出的产品。针对所列版本的补丁的产品领域显示在产品版本后面的 [方括号] 中。请单击 [方括号] 或可用补丁表中的链接，查看这些补丁的文档。

可用补丁表与风险表

电子商务套件客户请注意: 此 CPU 公布针对 Oracle E-Business Suite 版本 11i10 CU2 客户的新的累积式补丁。详情参阅 2010 年 1 月的 Oracle E-Business Suite 重要补丁更新说明。

Oracle Database、Oracle Application Server、Oracle Enterprise Manager Grid Control、Oracle E-Business Suite 应用产品（版本 11i10 CU2、12.0 和 12.1）、JD Edwards EnterpriseOne、JD Edwards OneWorld Tools、PeopleSoft Enterprise Portal 应用产品、PeopleSoft Enterprise PeopleTools 和 Siebel Enterprise、Oracle 行业应用产品和 BEA 的更新补丁是累积式的；重要补丁更新中包含的任何上述产品的补丁将包含之前的重要补丁更新中针对该产品的所有修复程序。

Oracle E-Business Suite 应用产品版本 11.5.10 的补丁不是累积式的，因此 Oracle E-Business Suite 应用产品的客户如果要应用的以前的安全修复程序，应参考以前的重要补丁更新进行查找。Oracle Collaboration Suite 的补丁是累积式的，它包括在 2007 年 7 月的重要补丁更新中提供的修复程序。从 2007 年 7 月的重要补丁更新开始，Oracle Collaboration Suite 的安全修复程序将使用一次性补丁基础架构提供，Oracle 通常使用该基础架构为客户提供单个的错误修复程序。

对于所管理的每个 Oracle 产品，请查阅下表中提到的有关可用补丁信息和安装说明的文档。有关该重要补丁更新的相关 Oracle 产品文档的概述，请参阅 2010 年 1 月 Oracle 重要补丁更新文档概述 My Oracle Support 说明 974531.1。

风险表内容

风险表只列出与公告涉及到的补丁新修复的安全漏洞。之前的安全修复程序的风险表包含在之前的重要补丁更新公告中。

该重要补丁更新提出的几个漏洞影响着多个产品。一个影响多个产品的漏洞将在所有风险表中显示相同的 漏洞号。 斜体 表明其他产品领域中包含的代码中的漏洞。

安全漏洞使用 CVSS 2.0 版进行评估（请参阅用于解释 Oracle 如何应用 CVSS 2.0 的 Oracle CVSS 评估系统）。Oracle 对重要补丁更新 (CPU) 解决的各个安全漏洞进行了分析。Oracle 不公开有关安全性分析的信息，但会在生成的风险表和相关文档中提供有关漏洞类型、利用漏洞所需的条件以及利用得逞的可能结果的信息。Oracle 部分地提供了这些信息，以便客户可以根据他们产品使用的特殊性分析其自己的风险。出于策略方面的原因，Oracle 不会透露有关可能会导致漏洞利用得逞的利用条件或结果的详细信息。Oracle 不提供除 CPU 或安全警报通知、可用补丁表、自述文件和常见问题解答所提供信息以外的其他具体漏洞信息。Oracle 不向个别客户提供有关 CPU 或安全警报的预先通知。最后，Oracle 不会针对产品漏洞发布可利用的入侵代码或“验证性”代码。

变通方法

考虑到攻击得逞所带来的威胁，Oracle 强烈建议客户尽快应用 CPU 修复程序。如果不应用 CPU 修复程序，则无法通过限制攻击所需的网络协议来降低攻击得逞的风险。对于需要特定权限或者需要访问特定程序包的攻击，删除无特权用户的权限或者使其无法访问这些程序包可能有助于降低攻击得逞的风险。这两种方法都有可能损害应用程序功能，因此 Oracle 强烈建议客户在非生产系统上测试更改。这两种方法都不能更正底层问题，因此都不能作为长期解决方案。

漏掉的重要补丁更新

Oracle 强烈建议客户尽快应用修复程序。如果客户漏掉一个或多个重要补丁更新，并且担心该 CPU 中未公布其修复程序的产品出现安全问题，请查看以前的重要补丁更新公告以确定要采取的行动。

不受支持的产品和版本

没有对不受支持的产品和版本测试过是否存在该重要补丁更新提出的安全漏洞。但是，很可能受影响的版本的那些早期版本也会受这些安全漏洞的影响。因此，Oracle 建议客户将其 Oracle 产品升级至受支持的版本。

不再为生命周期支持策略的首选支持或扩展支持阶段中不再涵盖的产品版本提供重要补丁更新补丁。我们建议客户升级至最新的受支持 Oracle 产品版本，以获取补丁。

处于扩展支持阶段的产品

受支持的数据库、融合中间件、EM Grid Control 和 Collaboration Suite 产品根据软件错误更正支持策略（参见 My Oracle Support 说明 209768.1）进行修补。有关支持策略和支持阶段的详细指南，请查看技术支持策略。

Oracle 数据库和 Oracle 应用服务器的 应请求 模型

Oracle 仅为客户要针对下一个重要补丁更新（基于历史数据）下载的平台/版本组合预先创建补丁。只要客户要求，我们将为以前固定的 Oracle 数据库和 Oracle 应用服务器的平台/版本组合创建补丁。

有关下一个重要补丁更新将支持的产品、版本和平台以及“应请求”补丁的请求流程的其他详细信息，请参阅 2010 年 1 月重要补丁更新中针对 Oracle 产品的可用补丁文档（ My Oracle Support 说明 967472.1）。

致谢声明

深度安全贡献者

对于此重要补丁更新，Oracle 向以下为 Oracle 深度安全计划作出贡献的人们表示感谢：DORASEC Consulting 的 Okan Basegmez、Red Database Security 的 Alexander Kornbrust、NGS Software 的 David Litchfield、Sentrigo 的 Slavik Markovich 、Sentrigo 的 Aviv Pode、Imperva, Inc. 的 Amichai Shulman，以及 Dennis Yurichev。

重要补丁更新日程表

重要补丁更新通常在距 1 月、4 月、7 月和 10 月的第 15 日最近的星期二发布。接下来的四个日期为：

• 2010 年 4 月 13 日
• 2010 年 7 月 13 日
• 2010 年 10 月 12 日
• 2011 年 1 月 18 日

参考资料

• Oracle 重要补丁更新和安全警报主页 [ Oracle 技术网 ]
• Oracle PeopleSoft Security 主页 [ Oracle PeopleSoft/JDEdwards 支持 ]
• 重要补丁更新 — 2010 年 1 月文档概述 [ My Oracle Support 说明 974531.1 ]
• Oracle 重要补丁更新和安全警报 — 常见问题解答 [ CPU 常见问题解答 ]
• 风险表定义 [ 风险表定义 ]
• 使用常见漏洞评估系统 (CVSS)，Oracle [ Oracle CVSS 评估 ]
• 重要补丁更新和安全警报中修复的公共漏洞列表 [ Oracle 技术网 ]
• 软件错误更正支持策略 [ My Oracle Support 说明 209768.1 ]
• 以前的 BEA 产品安全公告通知 [ BEA 安全公告 ]

修改历史

附录 — Oracle 数据库

Oracle 数据库执行概要

• 9 个针对 Oracle 数据库服务器的新安全修复程序。其中 1 个漏洞无需身份验证即可能被远程利用，即，无需输入用户名和口令即可通过网络利用这些漏洞。所有这些修复程序都不适用于仅客户端的安装（即，没有安装 Oracle 数据库服务器的安装）。
• 1 个针对 Oracle Secure Backup 的新的安全修复程序。此漏洞无需身份验证即可远程利用，即可以通过网络利用这些漏洞而无需用户名和口令。   
•  

Oracle Database 风险表

附注：

1. CVSS 基本评分仅对 Windows 为 10 分。对于 Linux、Unix 和其他平台 CVSS 基本评分为 7.5，而且对机密性、完整性以及可用性的影响评为部分+。
2. 在 Oracle Application Express 3.2.1.00.11 版中得到修复。
3. 在所有受支持的版本中得到修复。升级到任何受支持的版本以获取此修复程序。
4. 修复程序已通过 Oracle Universal Installer Patch 6640838 发布

Oracle Application Express 概述

Oracle Application Express 是一个适用于 Oracle 数据库的快速 Web 应用程序开发工具。在 Oracle Database 10g 第 2 版及早期版本中，Oracle Application Express 是通过 Oracle 数据库 CD 集中的随附 CD 或从 Oracle 网站下载的程序包单独安装的。如果您尚未通过随附 CD 或从 Orace 网站下载的程序包安装 Oracle Application Express，则无需进一步的操作。从 Oracle Database 11g 开始，Oracle Application Express 包含在 Oracle 数据库的默认安装中。

如果在 Oracle 数据库主目录下安装了 Oracle Application Express，则参考 2010 年 1 月的重要补丁更新中针对 Oracle 产品的可用补丁文档， My Oracle Support 说明 967472.1 以获得要安装的版本。

Oracle Secure Backup 概要

Oracle Secure Backup 风险表

Oracle Secure Backup 概述

Oracle Secure Backup 借助备份加密、动态驱动共享和磁带传送等特性提供集中式磁带备份管理以保护分布式的异构文件系统数据和 Oracle 数据库。

升级 Oracle Secure Backup

Oracle Secure Backup 的安全漏洞在版本 10.3.0.1 和补丁集 10.2.0.5 中得到修复。所有以前的版本应升级为版本 10.3.0.1 或更高版本。有关如何升级软件以安装最新版本的 Oracle Secure Backup 的说明，可在以下网址找到：
http://www.oracle.com/technetwork/cn/testcontent/secbackup-095166-zhs.html

附录 — Oracle 应用服务器

Oracle 应用服务器执行概要

该重要补丁更新包含 3 个针对 Oracle 应用服务器的新的安全修复程序。所有这些漏洞无需身份验证即可能被远程利用，即，无需输入用户名和口令即可能通过网络利用这些漏洞。所有这些修复程序都不适用于仅客户端的安装（即，没有安装 Oracle 应用服务器的安装）。

与 Oracle 数据库捆绑在一起的 Oracle 应用服务器产品受 Oracle 数据库部分中所列的漏洞影响。本部分并未对其作进一步讨论，也没有将它们列在 Oracle 应用服务器风险表中。

Oracle Application Server 风险表

附录 — Oracle E-Business Suite 和应用产品

Oracle E-Business Suite 和应用产品执行概要

Oracle E-Business Suite 产品包括 Oracle 数据库和 Oracle 融合中间件组件，这些组件受 Oracle 数据库和 融合中间件部分中所列漏洞的影响。Oracle E-Business Suite 产品暴露在危险中的程度取决于所使用的 Oracle 数据库和融合中间件版本。在 Oracle E-Business Suite 风险表中未列出 Oracle 数据库和融合中间件的安全修复程序，但是由于影响这些版本的漏洞可能会影响 Oracle E-Business Suite 产品，因此 Oracle 建议客户将 2010 年 1 月的重要补丁更新应用到 Oracle E-Business Suite 的 Oracle 数据库和融合中间件组件。详情参阅 2010 年 1 月 Oracle E-Business Suite 的重要补丁更新， My Oracle Support 说明 985520.1。

Oracle E-Business Suite 风险表

附件 — Oracle PeopleSoft Enterprise 和 JD Edwards EnterpriseOne

Oracle PeopleSoft Enterprise 和 JD Edwards EnterpriseOne 执行概要

该重要补丁更新包含 1 个针对 PeopleSoft 和 JDEdwards Suite 的新的安全修复程序。该漏洞在没有进行身份验证的情况下无法被远程利用，即，如果不输入用户名和口令，将无法通过网络利用该漏洞。   

Oracle PeopleSoft Enterprise 和 JD Edwards EnterpriseOne 风险表

附录 — BEA Product Suite

BEA 产品执行概要

该重要补丁更新包含 5 个针对 Oracle BEA Products Suite 的新的安全修复程序。所有这些漏洞无需身份验证即可能被远程利用，即，无需输入用户名和口令即可能通过网络利用这些漏洞。   

BEA Product Suite 风险表

附注：

1. 2009 年 11 月，Sun MicroSystems 发布了一个安全警报，以解决多个影响 Sun Java Runtime Environment 的漏洞。Oracle CVE-2010-0079 提及 Sun 警报中所有适用于 JRockit 的公告漏洞。在 JRockit 已修复的漏洞中，这个漏洞号的 CVSS 分数最高。该分数是由美国国家漏洞数据库 (NVD) 计算得出，而不是 Oracle 计算得出的。下面列出 JRockit 中在 CVE-2010-0079 下解决的所有公告漏洞： CVE-2009-3867、 CVE-2009-3868、 CVE-2009-3869、 CVE-2009-3871、 CVE-2009-3872、 CVE-2009-3873、 CVE-2009-3874、 CVE-2009-3875、 CVE-2009-3876、 CVE-2009-3877。

Appendix - Oracle Primavera Product Suite

Oracle Primavera Product Suite 执行概要

该重要补丁更新包含 2 个针对 Oracle Primavera Products Suite 的新安全修复程序。其中不存在无需身份验证即可被远程利用的漏洞，即，如果不输入用户名和口令，将无法通过网络利用这些漏洞。   

Oracle Primavera Product Suite 风险表

附注：

1. 有关 Primavera 模块中以前包含的 Apache Xerces 组件中的漏洞的信息，请参阅 CVE-2009-2625。

附件 — 产品相关性

针对 CPU 修补的 Oracle 产品相关性

Oracle Beehive

Oracle Collaboration Suite

Secure Enterprise Search

Oracle Enterprise Manager