Oracle全系产品1月关键补丁更新通告
内容提要
Oracle发布了关键补丁更新(CPU)，修复了Oracle WebLogic Server、Oracle MySQL、Oracle Java SE和Oracle Fusion Middleware等产品中的413个漏洞。建议用户应用这些补丁以保护系统免受这些漏洞的影响。文章还提供了有关特定漏洞和推荐的保护措施的信息。
延伸解读
未授权远程利用漏洞占比高，需优先关注
本次CPU修复的413个漏洞中，多个产品存在大量未授权远程利用漏洞。例如Oracle Financial Services Applications修复的71个漏洞中有54个可未授权远程利用，Oracle Communications的55个漏洞中有43个，Oracle Fusion Middleware的39个中有29个。这类漏洞无需用户凭据即可通过网络利用，风险较高，应优先排查和修复。
WebLogic漏洞利用协议明确，临时防护可操作
公告重点提及的WebLogic漏洞中，CVE-2024-20931需通过T3/IIOP协议触发，CVE-2024-20927和CVE-2024-20986则涉及安全特性绕过。若暂时无法安装补丁，可通过连接筛选器限制T3协议访问或禁用IIOP协议来降低风险。但需注意，重启WebLogic服务可能导致业务中断，操作前应评估影响。
补丁获取需正版许可，临时措施非长久之计
Oracle官方补丁需持有正版软件许可账号并登录support.oracle.com下载，这可能会影响部分用户的修复进度。公告提供的临时防护措施（如限制T3协议、禁用IIOP协议）仅能缓解特定漏洞，无法覆盖所有修复项。因此，建议用户在条件允许时尽快安装补丁，以实现长期有效的防护。
Q&A
Oracle 1月关键补丁更新修复了多少个漏洞？涉及哪些主要产品？
Oracle 1月关键补丁更新共修复了413个漏洞，涉及Oracle WebLogic Server、Oracle MySQL、Oracle Java SE、Oracle Fusion Middleware、Oracle HTTP Server等多个常用产品。
WebLogic Server 有哪些需要重点关注的漏洞？它们是如何被利用的？
重点漏洞包括：CVE-2024-20927（安全特性绕过，未经身份验证的远程攻击者可破坏系统完整性）、CVE-2024-20931（信息泄露，未经身份验证的攻击者通过T3/IIOP协议发送特制请求，可能非法访问关键数据或所有数据）、CVE-2024-20986（安全特性绕过，未经身份验证的远程攻击者在诱导受害者交互后可破坏系统完整性或泄露敏感信息）。
Oracle MySQL 和 Oracle Financial Services Applications 分别修复了多少个漏洞？其中有多少可未授权远程利用？
Oracle MySQL修复了40个漏洞，其中12个可在未经身份验证的情况下远程利用；Oracle Financial Services Applications修复了71个漏洞，其中54个可未授权远程利用。
如何下载和安装Oracle的补丁？需要什么条件？
用户需持有正版软件的许可账号，登录https://support.oracle.com后下载最新补丁，并参照补丁安装包中的readme文件进行安装更新，以保证长期有效的防护。
如果暂时无法安装WebLogic补丁，有哪些临时防护措施？
可采取两种临时措施：1. 限制T3协议访问：通过WebLogic控制台配置连接筛选器（weblogic.security.net.ConnectionFilterImpl），设置规则允许特定IP访问T3/T3s，拒绝其他；2. 禁用IIOP协议：在WebLogic控制台中取消“启用IIOP”勾选并重启WebLogic。
此次补丁更新中，哪些产品的最高CVSS评分达到9.8？
根据漏洞总结表格，最高CVSS评分为9.8的产品包括：Oracle Essbase、Oracle Communications Applications、Oracle Communications、Oracle Financial Services Applications、Oracle Fusion Middleware、Oracle Hyperion、Oracle JD Edwards、Oracle MySQL、Oracle Retail Applications、Oracle Systems。
