Oracle发布严重安全漏洞预警

        Oracle在上周二发布了本年度第一个安全补丁升级（CPU）公告，随之而来的，还有一些令人不安的漏洞预警。其中，在Oracle电子商务套件有一个严重的漏洞，下文会对其做相应的分析。
        研究人员David Litchfield在去年6月11日发现过Oracle一个疑似后门的严重漏洞CNNVD-201501-416。
        DUAL表是SYS用户下的一张内部表，所有用户都可以使用DUAL名称访问，无论什么时候这个表总是存在。在DUAL表中创建了基于函数的索引后，黑客将暂时获得SYS用户权限（SYSDBA），可执行任意SQL语句进而尝试控制整个服务器。如果存在这个漏洞的电子商务套件可以从外网远程访问的话，攻击者只要有PUBLIC角色（不需要用户密码），就可以跟进后续一大波的漏洞攻击。
        Litchfield觉得PUBLIC角色是不应该拥有DUAL表的索引权限，据此他判断出这个漏洞可能是由于代码编写出现的bug或者是开发人员刻意留下的后门。在一次给客户进行安全检测的过程中，Litchfield发现了这个漏洞。由于该漏洞可以直接获得SYSDBA权限，他最开始以为这是某人留的后门，但后来与客户交流后，客户的技术人员开始调查该“后门”事件，最后发现该权限授予漏洞是在Oracle电子商务套件安装时就有的。
        Litchfield承认从Oracle得知，官方技术人员检查了该漏洞，但却表示并没有找到该权限授予漏洞出现的时间和漏洞成因。Oracle在严重补丁升级时表示，这个漏洞并非远程执行。Oracle给其评级为6分。
        Oracle官方表示，当前漏洞已经被修复。
        在Java平台上，Oracle为19个漏洞打了补丁，其中有14个漏洞可以远程利用，包括部分严重级别很高的漏洞。然而，Oracle表示Java漏洞的数量会呈递减趋势，这是由历史数据验证过的。同时，Oracle还修补了八个最重要的Oracle数据服务器的漏洞，其中没有远程利用的漏洞，也没有在客户端利用的。其中唯一的高危漏洞，是Oracle Sun Systems的Fujitsu M10-1, M10-4，M10-4S servers。