【安全更新】Oracle全系产品2023年10月关键补丁更新通告

通告编号:NS-2023-0043

2023-10-18

TA****G：

Oracle、关键补丁更新、Weblogic

漏洞危害：

此次补丁更新修复了387个不同程度的漏洞，涉及多个常用产品。

版本：

**1.0
**

漏洞概述

2023年10月18日，绿盟科技CERT监测发现Oracle官方发布了10月重要补丁更新公告CPU（Critical Patch Update），此次共修复了387个不同程度的漏洞，此次安全更新涉及Oracle WebLogic Server、Oracle MySQL、Oracle Financial Services Applications、Oracle Enterprise Manager、Oracle Retail Applications等多个常用产品。Oracle强烈建议客户尽快应用关键补丁更新修复程序，对漏洞进行修复。

参考链接：

https://www.oracle.com/security-alerts/cpuoct2023.html

SEE MORE →

2****重点漏洞简述

根据产品流行度和漏洞重要性筛选出此次更新中包含影响较大的漏洞，请相关用户重点进行关注：

Oracle WebLogic Server****多个严重漏洞：

本次安全更新修复了Oracle WebLogic Server存在的多个漏洞，未经身份验证的远程攻击者通过T3、IIOP协议发送恶意请求进行访问，成功利用该漏洞后可导致接管Oracle WebLogic Server权限。

CVE-2023-22069

CVE-2023-22072

CVE-2023-22089

CVE-2023-22101

Oracle MySQL****多个漏洞：

此次安全更新针对Oracle MySQL发布了37个安全补丁, 其中9个漏洞在未经用户身份验证的情况下远程进行利用，即无需用户凭据即可通过网络利用。高危漏洞编号如下：

CVE-2023-34034

CVE-2022-42898

CVE-2023-22102

Oracle Financial Services Applications****多个漏洞：

此次安全更新针对Oracle Financial Services Applications发布了103个安全补丁。其中的49个漏洞在未经用户身份验证的情况下即可远程进行利用。高危漏洞编号如下：

CVE-2023-22946

CVE-2022-1471

CVE-2023-20873

Oracle Communications****多个漏洞：

此次安全更新针对Oracle Communications发布了91个安全补丁，其中的60个漏洞在未经用户身份验证的情况下即可远程进行利用。高危漏洞编号如下：

CVE-2023-34034

CVE-2023-38408

CVE-2023-3824

CVE-2023-38408

Oracle Communications Applications****多个漏洞：

此次安全更新针对Oracle Communications Applications发布了9个安全补丁。其中的4个漏洞在未经用户身份验证的情况下即可远程进行利用。高危漏洞如下：

CVE-2022-42920

CVE-2023-34981

Oracle Enterprise Manager****多个漏洞：

此次安全更新针对Oracle Enterprise Manager发布了5个安全补丁。其中暂无漏洞在未经用户身份验证的情况下即可远程进行利用。高危漏洞编号如下：

CVE-2023-23914

Oracle Retail Applications****多个漏洞：

此次安全更新针对Oracle Retail Applications发布了15个安全补丁。其中有9个漏洞在未经用户身份验证的情况下即可远程进行利用。高危漏洞编号如下：

CVE-2023-39017

Oracle官方10月关键补丁更新漏洞总结如下：

产品

漏洞个数

未授权远程利用的个数

最高CVSS评分

Oracle Database Products Risk Matrices

6.5

Oracle Database Server

6.5

Oracle Big Data Spatial and Graph

6.5

Oracle Essbase

6.5

Oracle Global Lifecycle Management

7.5

Oracle GoldenGate

7.5

Oracle Graph Server and Client

5.3

Oracle REST Data Services

5.3

Oracle Secure Backup

7.5

Oracle TimesTen In-Memory Database

5.3

Oracle Commerce

7.5

Oracle Communications Applications

9.8

Oracle Communications

9.8

Oracle Construction and Engineering

7.5

Oracle E-Business Suite

6.5

Oracle Enterprise Manager

9.1

Oracle Financial Services Applications

103

9.9

Oracle Fusion Middleware

9.8

Oracle Analytics

9.9

Oracle Health Sciences Applications

8.1

Oracle HealthCare Applications

6.5

Oracle Hospitality Applications

8.8

Oracle Hyperion

9.8

Oracle Insurance Applications

9.8

Oracle Java SE

7.5

Oracle JD Edwards

5.3

Oracle MySQL

9.8

Oracle PeopleSoft

9.8

Oracle Retail Applications

9.8

Oracle Siebel CRM

7.5

Oracle Supply Chain

7.5

Oracle Systems

5.9

Oracle Utilities Applications

9.8

Oracle Virtualization

7.9

3****漏洞防护

3.1 补丁更新

请用户参考本文附录“受影响产品及补丁信息”及时下载受影响产品更新补丁，并参照补丁安装包中的readme文件进行安装更新，以保证长期有效的防护。

注：Oracle官方补丁需要用户持有正版软件的许可账号，使用该账号登陆https://support.oracle.com后，可以下载最新补丁。

3.2 Weblogic临时防护措施

3.2.1 限制T3协议访问

若相关用户暂时无法安装补丁或不通过T3协议进行JVM通信，可使用下列措施阻断针对利用T3协议漏洞的攻击：

WebLogic Server提供了名为 weblogic.security.net.ConnectionFilterImpl 的默认连接筛选器，此连接筛选器接受所有传入连接，可通过此连接筛选器配置规则，对T3及T3s协议进行访问控制，详细操作步骤如下：

1. 进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。

2. 在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，参考以下写法，在连接筛选器规则中配置符合企业实际情况的规则：

127.0.0.1 * * allow t3 t3s

本机IP ** allow t3 t3s

允许访问的IP * * allow t3 t3s

* * * deny t3 t3s

连接筛选器规则格式如下：target localAddress localPort action protocols，其中：

target 指定一个或多个要筛选的服务器。
localAddress 可定义服务器的主机地址。(如果指定为一个星号 (*)，则返回的匹配结果将是所有本地 IP 地址。)
localPort 定义服务器正在监听的端口。(如果指定了星号，则匹配返回的结果将是服务器上所有可用的端口)。
action 指定要执行的操作。(值必须为“allow”或“deny”。)
protocols 是要进行匹配的协议名列表。(必须指定下列其中一个协议：http、https、t3、t3s、giop、giops、dcom 或 ftp。) 如果未定义协议，则所有协议都将与一个规则匹配。

3. 保存后若规则未生效，建议重新启动WebLogic服务（重启WebLogic服务会导致业务中断，建议相关人员评估风险后，再进行操作）。以Windows环境为例，重启服务的步骤如下：

进入域所在目录下的bin目录，在Windows系统中运行stopWebLogic.cmd文件终止WebLogic服务，Linux系统中则运行stopWebLogic.sh文件。

待终止脚本执行完成后，再运行startWebLogic.cmd或startWebLogic.sh文件启动WebLogic，即可完成WebLogic服务重启。

参考链接：

https://docs.oracle.com/cd/E24329\_01/web.1211/e24485/con\_filtr.htm#SCPRG377

3.2.2 禁用IIOP协议

用户可通过关闭IIOP协议阻断针对利用IIOP协议漏洞的攻击，操作如下：

在WebLogic控制台中，选择“服务”->“AdminServer”->“协议”，取消“启用IIOP”的勾选。并重启WebLogic项目，使配置生效。

附录****受影响产品及补丁信息

受影响产品及版本号

可用补丁

BI Publisher, versions 6.4.0.0.0, 7.0.0.0.0, 12.2.1.4.0