Oracle产品中存在多个严重安全漏洞

Oracle产品中存在多个严重安全漏洞

发布日期：2006-07-20


受影响的软件及系统：
====================
Oracle Oracle8i 8.1.7.4
Oracle Oracle9i 9.2.0.7
Oracle Oracle9i 9.2.0.6
Oracle E-Business Suite 11i 11.5.7 - 11.5.10 CU2
Oracle E-Business Suite 11.0
Oracle Enterprise Manager 10g Grid Control, v10.2.0.1
Oracle Database 10g Release 1 10.1.0.5
Oracle Database 10g Release 1 10.1.0.4
Oracle Collaboration Suite Release 2 9.0.4.2
Oracle Application Server 10g Release 2 10.1.2.1.0
Oracle Application Server 10g Release 2 10.1.2.0.0 - 10.1.2.0.2
Oracle Application Server 10g Release 1 (9.0.4) 9.0.4.3
Oracle Application Server 10g Release 1 (9.0.4) 9.0.4.2
Oracle Collaboration Suite 10g Release 1 10.1.2.0
Oracle Database 10g Release 2 10.2.0.2
Oracle Database 10g Release 2 10.2.0.1
Oracle Pharmaceutical Applications 4.5.0 - 4.5.2
Oracle JD Edwards EnterpriseOne Tools/OneWorld Tools 8.96
Oracle JD Edwards EnterpriseOne Tools/OneWorld Tools 8.95
Oracle Application Server 10g Release 3 10.1.3.0.0
Oracle PeopleSoft Enterprise Portal Solutions Enterprise Portal,8.9
Oracle PeopleSoft Enterprise Portal Solutions Enterprise Portal,8.8
Oracle PeopleSoft Enterprise Portal Solutions Enterprise Portal,8.4

综述：
======
Oracle发布了2006年7月的紧急补丁更新公告，修复了多个数据库产品中的多个漏洞。攻击者利用这些漏洞可能远程入侵并完全控制数据库或客户端系统。

我们强烈建议使用Oracle用户立刻检查一下您的系统是否受此漏洞影响，并按照紧急补丁更新所述安装更新补丁。

分析：
======
Oracle刚刚发布了本季度的紧急补丁更新cpujul2006，描述了多个安全问题，分别是有关各版本的Oracle Database、Enterprise Manager、Oracle Application Server、Collaboration Suite、E-Business Suite、Oracle Pharmaceutical Applications等系统和应用的漏洞。这些漏洞影响Oracle产品的所有安全属性，可导致本地和远程的威胁。其中一些漏洞可能需要各种级别的授权，但也有些不需要任何授权。最严重的漏洞可能导致完全入侵数据库系统。

根据目前已知的信息，Oracle Database 10g中的漏洞主要是SYS.DBMS_CDC_IMPDP、SYS.DBMS_STATS、SYS.DBMS_UPGRADE、SYS.DBMS_UPGRADE和DBMS_EXPORT_EXTENSION软件包中的SQL注入漏洞。其中DBMS_EXPORT_EXTENSION软件包中的SQL注入漏洞目前已有公开的攻击代码。Oracle声称已在2006年4月的紧急补丁更新中修复了这个漏洞，但实际上并未修复。

目前还没有其他受影响系统和应用的详细漏洞信息。

厂商状态：
==========
Oracle已经发布了修复这些漏洞的补丁包。详细信息参见下列链接：
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujul2006.html

附加信息：
==========
1. http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujul2006.html
2.
3.
4.
5.
6.