2021年7月Oracle数据库CPU（紧急补丁）发布，共16个网络安全漏洞

原创通讯员 2021-07-22

6205

2021年7月21日Oracle官方发布了第三季度的Critical Patch Update，CPU主要是针对产品安全问题发布的紧急补丁。本次补丁修复的数据库相关漏洞共16个（其中国内安华金和与蚂蚁金服的安全专家共上报5个），另外此次含一个高危漏洞，无需身份验证即可远程利用，官方强烈建议尽快应用补丁。

2021年7月数据库风险矩阵

以下是16个漏洞列表，8分以上高危漏洞1个，5-8分中等漏洞6个，以及9个低风险漏洞：

CVE#	Component	Package and/or Privilege Required	Protocol	Remote Exploit without Auth.?	Base Score	Attack Vector	Attack Complex	Privs Req’d	User Interact	Scope	Confid-entiality	Inte-grity	Avail-ability	Supported Versions Affected
CVE-2021-2351	Advanced Networking Option	None	Oracle Net	Yes	8.3	Network	High	None	Required	Changed	High	High	High	12.1.0.2, 12.2.0.1, 19c
CVE-2021-2328	Oracle Text	Create Any Procedure, Alter Any Table	Oracle Net	No	7.2	Network	Low	High	None	Un-changed	High	High	High	12.1.0.2, 12.2.0.1, 19c
CVE-2021-2329	Oracle XML DB	Create Any Procedure, Create Public Synonym	Oracle Net	No	7.2	Network	Low	High	None	Un-changed	High	High	High	12.1.0.2, 12.2.0.1, 19c
CVE-2021-2337	Oracle XML DB	Create Any Procedure, Create Public Synonym	Oracle Net	No	7.2	Network	Low	High	None	Un-changed	High	High	High	12.1.0.2, 12.2.0.1, 19c
CVE-2020-27193	Oracle Application Express (CKEditor)	Valid User Account	HTTP	No	5.4	Network	Low	Low	Required	Changed	Low	Low	None	Prior to 21.1.0.00.01
CVE-2020-26870	Oracle Application Express Application Builder (DOMPurify)	Valid User Account	HTTP	No	5.4	Network	Low	Low	Required	Changed	Low	Low	None	Prior to 21.1.0.00.01
CVE-2021-2460	Oracle Application Express Data Reporter	Valid User Account	HTTP	No	5.4	Network	Low	Low	Required	Changed	Low	Low	None	Prior to 21.1.0.00.04
CVE-2021-2333	Oracle XML DB	Alter User	Oracle Net	No	4.9	Network	Low	High	None	Un-changed	High	None	None	12.1.0.2, 12.2.0.1, 19c
CVE-2019-17545	Oracle Spatial and Graph (GDAL)	Create Session	Oracle Net	No	4.4	Local	High	Low	Required	Un-changed	None	None	High	12.2.0.1, 19c
CVE-2021-2330	Core RDBMS	Create Table	Oracle Net	No	4.3	Network	Low	Low	None	Un-changed	None	None	Low	19c
CVE-2020-7760	Enterprise Manager Express User Interface (CodeMirror)	User Account	HTTP	No	4.3	Network	Low	Low	None	Un-changed	None	None	Low	19c
CVE-2021-2438	Java VM	Create Procedure	Oracle Net	No	4.3	Network	Low	Low	None	Un-changed	None	None	Low	12.1.0.2, 12.2.0.1, 19c
CVE-2021-2334	Oracle Database - Enterprise Edition Data Redaction	Create Session	Oracle Net	No	3.5	Network	Low	Low	Required	Un-changed	None	Low	None	12.1.0.2, 12.2.0.1, 19c
CVE-2021-2335	Oracle Database - Enterprise Edition Data Redaction	Create Session	Oracle Net	No	3.5	Network	Low	Low	Required	Un-changed	None	Low	None	12.1.0.2, 12.2.0.1, 19c
CVE-2021-2336	Oracle Database - Enterprise Edition Data Redaction	Create Session	Oracle Net	No	3.5	Network	Low	Low	Required	Un-changed	None	Low	None	12.1.0.2, 12.2.0.1, 19c
CVE-2021-2326	Database Vault	DBA	Oracle Net	No	2.7	Network	Low	High	None	Un-changed	Low	None	None	12.2.0.1, 19c

高危漏洞CVE-2021-2351

其中高危漏洞CVE-2021-2351为Moritz Bechler of SySS GmbH报告，该漏洞在使用Native Network Encryption网络加密时存在，旧的客户端一般使用DES、3DES、RC4等较弱的加密算法，存在安全隐患，无需身份验证即可远程利用，但是攻击的复杂度还是较高。

可以通过以下参数来排查是否使用了NNE，并确实使用的加密是否为以上提到的算法。

SQLNET.ENCRYPTION_SERVER=REQUESTED or
SQLNET.ENCRYPTION_SERVER=REQUIRED
复制

本次补丁通过引入两个新的配置参数SQLNET.ALLOW_WEAK_CRYPTO_CLIENTS、SQLNET.ALLOW_WEAK_CRYPTO，如果设置为 FALSE，它们会阻止几个较旧的、安全性较低的加密算法。

详细可以参考Changes in Native Network Encryption (NNE) with the July 2021 Critical Patch Update (Doc ID 2791571.1)。

北京安华金和的Qiguang Zhu上报4个

CVE-2021-2328
CVE-2021-2329
CVE-2021-2333
CVE-2021-2337

这4个漏掉都是具有Create Any Procedure、Alter Any Table、Create Public Synonym、Alter User等高权限的攻击者可以利用该漏洞通过 Oracle Net 进行网络访问来破坏 Oracle Text和XML DB。成功攻击此漏洞可能会导致Oracle Text和XML DB被接管，受影响的版本为12.1.0.2、12.2.0.1 和 19c。

蚂蚁金服巴斯光年安全实验室的Yaoguang Chen上报1个

CVE-2021-2330

该漏洞是具有创建表权限的低特权攻击者通过 Oracle Net 访问网络来破坏核心 RDBMS，攻击者利用此漏洞可获取更新、插入或删除数据的权限，还会导致数据库部分功能无法对外提供服务，受影响的版本为19c。

其他漏洞

Database Vault防火墙相关的1个，Oracle Database - Enterprise Edition Data Redaction有3个，Java VM有1个，OEM有1个，Oracle Spatial and Graph有1个，Oracle Application有3个，详细请查看 https://www.oracle.com/security-alerts/cpujul2021.html。