2021年10月20日，Oracle官方发布了第四季度的Critical Patch Update - October 2021，CPU主要是针对产品安全问题发布的紧急补丁。本次补丁修复的数据库相关漏洞共9个（国内安华金和与蚂蚁金服的安全专家上报4个），此次含一个高危漏洞CVE-2021-35599，两个危险漏洞CVE-2021-25122、CVE-2021-35619，官方强烈建议及时安装补丁。

目录

• 2021年10月数据库风险矩阵
• 高危漏洞CVE-2021-35599
• 危险漏洞CVE-2021-25122
• 危险漏洞CVE-2021-35619
• 北京安和金华Qiguang Zhu上报两个
• 蚂蚁金服Yaoguang Chen上报两个
• 其他漏洞
• 2021年往期CPU回顾

2021年10月数据库风险矩阵

高危漏洞CVE-2021-35599

该漏洞评分8.2分，在Zero Downtime DB Migration零停机迁移上云时存该漏洞，需要本地登录操作系统的权限，受影响的版本仅21C，加上国内没有OCI，可以暂时不用关注。

危险漏洞CVE-2021-25122

该漏洞评分7.5分，属于危险漏洞，出现在企业版Apache Tomcat组件中，受影响的版本有12.2.0.1、19C以及21C，攻击者可以通过HTTP方式绕过身份验证访问关键数据。

且该漏洞的攻击复杂度较低，如果用到改组件的用户，强烈建议安装此次CPU补丁。

危险漏洞CVE-2021-35619

该漏洞评分7.1分，属于危险漏洞，拥有Create Procedure权限，受影响的版本有12.1.0.2、12.2.0.1、19C和21C，攻击者可以完全接管Java VM。

目前该漏洞的攻击复杂度较高，官方还是建议及时安装补丁。

北京安和金华Qiguang Zhu上报两个

• CVE-2021-2332
  该漏洞评分6.7，DBA可以通过LogMiner访问未经授权的数据，以及创建、删除或修改关键数据，还会导致
  hang或者程序频繁crash，受影响的版本有12.1.0.2、12.2.0.1、19C和21C。

• CVE-2021-35551
  该漏洞评分5.5分，DBA可以绕过数据库安全系统，访问、更新、插入或删除一些数据，还会导致hang或者程序频繁crash，受影响的版本12.2.0.1、19C和21C。

蚂蚁金服Yaoguang Chen上报两个

• CVE-2021-35557/CVE-2021-35558
  这两个漏洞评分4.3分，拥有创建表权限的攻击者，可以导致核心数据库无法对外提供服务，受影响的版本12.1.0.2、12.2.0.1、19C和21C。

其他漏洞

• CVE-2021-26272
  出现在Oracle Application Express (CKEditor)中，成功攻击会导致数据库无法正常对外提供服务，21.1.0以下版本受影响。

• CVE-2021-35576
  Emad Al-Mousa上报的一个漏洞，出现在统一审计（Unified Audit）组件中，受影响的版本有12.1.0.2、12.2.0.1和19C，拥有本地登录权限的攻击者访问、修改、插入或者删除未经授权的数据。

2021年往期CPU回顾

《2021年7月Oracle数据库CPU（紧急补丁）发布，共16个网络安全漏洞》
《2021年4月Oracle数据库CPU（重要补丁更新）发布》
《Oracle 2021年1月安全警报： Critical Patch Update 发布8个数据库警告》