2023年7月 Oracle 重要补丁更新公告

描述

重要补丁更新是针对多个安全漏洞的补丁集合。这些补丁解决了 Oracle 代码和 Oracle 产品中包含的第三方组件中的漏洞。这些补丁通常是累积的，但每个通报仅描述自上一个重要补丁更新通报以来添加的安全补丁。因此，应查看之前的重要补丁更新公告，以获取有关早期发布的安全补丁的信息。有关 Oracle 安全建议的信息，请参阅“重要补丁更新、安全警报和公告”（https://www.oracle.com/security-alerts/） 。

Oracle 继续定期收到恶意利用 Oracle 已发布安全补丁的漏洞的报告。据报道，在某些情况下，攻击者之所以成功，是因为目标客户未能应用可用的 Oracle 补丁。因此，Oracle 强烈建议客户继续使用受积极支持的版本，并立即应用关键补丁更新安全补丁。

2023年7月重要补丁更新包含跨下列产品系列的 508 个新安全补丁。请注意，总结此重要补丁更新和其他 Oracle 软件安全保证活动内容的 MOS 说明位于Oracle 2023年7月重要补丁更新 - 执行摘要和分析（文档 ID 2943356.1）（https://support.oracle.com/rs?type=doc&id=2943356.1）。

受影响的产品和补丁信息

此重要补丁更新解决的安全漏洞影响下列产品。产品区域显示在补丁可用性文档列中。

请单击下面的“补丁可用性文档”列中的链接，访问补丁可用性信息和安装说明的文档。

Note：

• 影响 Oracle Solaris 的漏洞可能会影响 Oracle ZFSSA，因此 Oracle 客户应参阅 Oracle 和 Sun Systems 产品套件重要补丁更新知识文档My Oracle Support 说明 2160904.1（https://support.oracle.com/rs?type=doc&id=2160904.1），了解解决重要补丁更新中发布的 ZFSSA 问题所需的安全补丁最低修订版本的信息和 Solaris 第三方公告。
• Solaris 第三方公告用于发布与 Oracle Solaris 一起分发的第三方软件的安全补丁。Solaris 10 客户应参考最新的补丁集，其中包含系统补丁可用性文档中详细介绍的关键安全补丁。有关详细信息，请参阅 CVE ID 和 Solaris 补丁的参考索引（My Oracle Support 说明 1448883.1：https://support.oracle.com/rs?type=doc&id=1448883.1）。
• 使用浏览器运行 Java SE 的用户可以从https://java.com下载最新版本。Windows 和 Mac OS X 平台上的用户还可以使用自动更新（https://www.java.com/en/download/help/java_update.xml）来获取最新版本。

Oracle 数据库产品风险表

此重要补丁更新包含 15 个针对 Oracle 数据库产品的新安全补丁，划分如下：

• Oracle 数据库产品的 5 个新安全补丁
• Oracle Application Express 的 3 个新安全补丁
• Oracle Big Data Spatial and Graph 没有新的安全补丁，但提供了第三方补丁
• Oracle Essbase 的 2 个新安全补丁
• Oracle GoldenGate 的 2 个新安全补丁
• 1 个针对 Oracle Graph Server 和 Client 的新安全补丁
• Oracle NoSQL 数据库没有新的安全补丁，但提供了第三方补丁
• Oracle Secure Backup 没有新的安全补丁，但提供了第三方补丁
• Oracle Spatial Studio 的 1 个新安全补丁
• Oracle TimesTen 内存数据库的 1 个新安全补丁

Oracle 数据库服务器风险表

此重要补丁更新包含 5 个新的安全补丁，以及下面提到的针对 Oracle 数据库产品的其他第三方补丁。其中 1 个漏洞无需身份验证即可远程利用，即无需用户凭据即可通过网络利用。其中 1 个补丁适用于仅客户端安装，即未安装 Oracle 数据库服务器的安装。可以在此处找到此风险矩阵的英文文本形式。

此重要补丁更新中包含的其他补丁适用于该 Oracle 产品系列的以下不可利用的 CVE：

• 核心 (lz4)：CVE-2021-3520 [VEX 理由：vulnerable_code_cannot_be_driven_by_adversary]。
• Oracle 数据库 (Apache Tomcat)：CVE-2023-34981、CVE-2022-45143、CVE-2023-24998、CVE-2023-28708 和 CVE-2023-28709 [VEX 理由：存在漏洞的代码]。
• Oracle Database Workload Manager (Dexie)：CVE-2022-21189 和 CVE-2023-30533 [VEX 理由：vulnerable_code_not_in_execute_path]。

仅 Oracle 数据库服务器客户端安装

• 此重要补丁更新中包含的以下 Oracle 数据库服务器漏洞影响仅客户端安装：CVE-2023-21949。

Oracle GoldenGate 风险矩阵

此重要补丁更新包含 2 个新的安全补丁，以及下面提到的针对 Oracle GoldenGate 的其他第三方补丁。其中 1 个漏洞无需身份验证即可远程利用，即无需用户凭据即可通过网络利用。可以在此处找到此风险矩阵的英文文本形式。

解决的其他 CVE 包括：

• CVE-2022-42003 的补丁还解决了 CVE-2022-42004。

此重要补丁更新中包含的其他补丁适用于该 Oracle 产品系列的以下不可利用的 CVE：

• 甲骨文金门
  • Oracle GoldenGate (zlib)：CVE-2022-37434 [VEX 理由：vulnerable_code_not_in_execute_path]。
• Oracle GoldenGate 流分析
  • Oracle GoldenGate 流分析 (Apache Hadoop)：CVE-2022-25168 和 CVE-2021-25642 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • 安全性 (Apache Calcite)：CVE-2022-39135 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • 安全性 (Apache Commons FileUpload)：CVE-2023-24998 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • 安全性 (Apache Ivy)：CVE-2022-37865 和 CVE-2022-37866 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • 安全性 (Apache Kafka)：CVE-2023-25194 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • 安全性 (Apache Spark)：CVE-2023-22946 和 CVE-2022-31777 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • 安全性 (Apache ZooKeeper)：CVE-2020-7712 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • 安全性 (Netty)：CVE-2022-41881 和 CVE-2022-41915 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • Web 层 (jQueryUI)：CVE-2021-41184、CVE-2021-41182 和 CVE-2021-41183 [VEX 理由：vulnerable_code_not_in_execute_path]。

Oracle NoSQL 数据库风险矩阵

此重要补丁更新不包含针对可利用漏洞的新安全补丁，但包含针对Oracle NoSQL 数据库的以下不可利用第三方 CVE 的第三方补丁（如下所述） 。如果上次重要补丁更新未应用于 Oracle NoSQL 数据库，请参阅之前的重要补丁更新公告。可以在此处找到此风险矩阵的英文文本形式。

此重要补丁更新中包含的其他补丁适用于该 Oracle 产品系列的以下不可利用的 CVE：

• Oracle NoSQL 数据库
  • 管理 (Netty)：CVE-2022-41881 和 CVE-2022-41915 [VEX 理由：vulnerable_code_not_in_execute_path]。

Oracle TimesTen 内存数据库风险矩阵

此重要补丁更新包含 1 个新的安全补丁，以及下面提到的针对 Oracle TimesTen In-Memory Database 的其他第三方补丁。此漏洞无需身份验证即可远程利用，即无需用户凭据即可通过网络利用。可以在此处找到此风险矩阵的英文文本形式。

解决的其他 CVE 包括：

• CVE-2020-35168 的补丁还解决了 CVE-2020-29508、CVE-2020-35163、CVE-2020-35164、CVE-2020-35166、CVE-2020-35167 和 CVE-2020-35169。

此重要补丁更新中包含的其他补丁适用于该 Oracle 产品系列的以下不可利用的 CVE：

• Oracle TimesTen 内存数据库
  • EM TimesTen 插件 (Golang Go)：CVE-2023-24532 [VEX 理由：vulnerable_code_not_in_execute_path]。
  • EM TimesTen 插件 (Netty)：CVE-2022-41881 和 CVE-2022-41915 [VEX 理由：vulnerable_code_not_in_execute_path]。

Oracle MySQL 风险矩阵

此重要补丁更新包含 24 个针对 Oracle MySQL 的新安全补丁。其中 11 个漏洞无需身份验证即可远程利用，即无需用户凭据即可通过网络利用。可以在此处找到此风险矩阵的英文文本形式。

解决的其他 CVE 包括：

• CVE-2022-37865 的补丁还解决了 CVE-2022-37866 的问题。
• CVE-2023-2650 的补丁还解决了 CVE-2023-0464、CVE-2023-0465、CVE-2023-0466 和 CVE-2023-1255。
• CVE-2023-28484 的补丁还解决了 CVE-2023-29469。

文章来源：https://www.oracle.com/security-alerts/cpujul2023.html