Oracle Critical Patch Update für Jänner 2020 verfügbar
16.1.2020 - In der Nacht vom 14. auf den 15. Jänner hat Oracle den CPU Jänner 2020 freigegeben. Auch dieses Mal sind einige für Datenbanken relevante Security Patches dabei.
Es gibt zwei Patches für die Datenbank und einen für die JVM in der Datenbank, die allesamt einen Score von über 7 haben und damit relativ hoch eingestuft sind. Daher empfehlen wir, den Jan CPU 2020 einzuspielen. Die Patches gibt es für
- 12.2.0.1/12.2.0.2,
- 18c und
- 19c
- zwei sogar für 11.2.0.4.
Details zu den Security Leaks
- CVE-2020-2510 betrifft den Datenbank Kern in den Versionen 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c und 19c. Die Vulnerability wird als schwierig umzusetzen beschrieben, erlaubt aber einem Angreifer ohne Authentifizierung mit Netzwerk-Zugang eventuell die Datenbank zu übernehmen. Es ist allerdings der (unbeteiligte) Zugriff von authorisierten Usern notwendig - offensichtlich können einem arglosen User gefährliche Aktionen untergeschoben werden.
- CVE-2020-2511 betrifft ebenfalls den Datenbank Kern, dieses Mal in den Versionen 12.1.0.2, 12.2.0.1, 18c und 19c. Die Vulnerability erlaubt es, Angreifern mittels einer Session in der Datenbank DOS-Attacken gegen die Datenbank bzw andere Produkte auszuführen. Der Exploit wird als leicht durchführbar eingestuft.
- CVE-2020-2518 betrifft die Java VM in der Datenbank. Betroffene Versionen sind 11.2.0.4, 12.1.0.1, 12.2.0.1, 18c und 19c.
Eigenen Angaben zufolge hat Oracle insgesamt 334 Updates veröffentlicht.
Weitere Links:
Der Ausgangspunkt für die Bewertung der Lücken ist wie immer bei Oracle zu finden:
Den Überblick über die Security-Alerts finden Sie bei Oracle hier:
Hilfreich ist auch folgender Ausgangspunkt:
OpenVMS
Nachdem for OpenVMS nur die Release 11.2.0.4 verfügbar ist, ist der CPU wie bisher ohne Extended Support verfügbar. Im Dokument "Oracle Software Techical Support Policies", Stand 4. Jänner 2019 findet sich im Kapitel Lifetime Support die Anmerkung, dass der Extended Support für 11.2.0.4 auf OpenVMS bis Dezember 2020 weiterhin kostenlos zur Verfügung steht.
Für Oracle 11.2.0.4 auf OpenVMS steht das aktuelle Patch Update unter "Patch 30298532: DATABASE PATCH SET UPDATE 11.2.0.4.200114 (Patch)" zur Verfügung.