01 摘要
2024年1月17日,Oracle发布了2024年1月份安全更新.
本次更新共修复了389个漏洞, 其中有257个漏洞无需身份验证即可远程利用
02 漏洞列表
漏洞详情如下:
*危害较大漏洞指的是无需身份验证且可远程利用的漏洞
03 漏洞详情
CVE-2024-20961
受影响产品:
MySQL Server 8.0.35及之前版本,8.2.0及之前版本
详情:
MySQL Server是一种关系型数据库管理系统(RDBMS),它使用SQL语言来管理数据库。MySQL是开源并免费使用的,被广泛应用于许多网站和应用程序中,同时支持Windows、Linux和Mac等平台。MySQL Server提供了高性能、可靠性和可伸缩性,同时还支持多种存储引擎,如InnoDB和MyISAM。
未经身份验证的攻击者通过MySQL Protocol协议发送恶意请求,最终导致Oracle MySQL Server被拒绝服务攻击, 严重情况会导致服务崩溃。
CVE-2024-20962
受影响产品:
MySQL Server 8.0.35及之前版本,8.2.0及之前版本
详情:
MySQL Server是一种关系型数据库管理系统(RDBMS),它使用SQL语言来管理数据库。MySQL是开源并免费使用的,被广泛应用于许多网站和应用程序中,同时支持Windows、Linux和Mac等平台。MySQL Server提供了高性能、可靠性和可伸缩性,同时还支持多种存储引擎,如InnoDB和MyISAM。
未经身份验证的攻击者通过MySQL Protocol协议发送恶意请求,最终导致Oracle MySQL Server被拒绝服务攻击, 严重情况会导致服务崩溃。
CVE-2024-20923
受影响产品:
Oracle Java SE: 8u391及之前版本
Oracle GraalVM Enterprise Edition: 20.3.12及之前版本, 21.3.8及之前版本
详情:
Oracle Java SE (Standard Edition) 是由Oracle公司开发和发布的Java平台的标准版本。它提供了一组核心的Java类库和工具,用于开发和运行Java应用程序和applet。
Oracle GraalVM Enterprise Edition是一种高性能的、多语言的虚拟机,由Oracle公司开发。它支持Java、 JavaScript、 LLVM语言(如C和C++)和其他语言,可以提高程序性能和启动速度。
未经身份验证的攻击者通过多种协议发送恶意请求,最终会导致对Oracle Java SE、Oracle GraalVM Enterprise Edition中数据进行未经授权的访问。
CVE-2024-20925
受影响产品:
Oracle Java SE: 8u391及之前版本
Oracle GraalVM Enterprise Edition: 20.3.12及之前版本, 21.3.8及之前版本
详情:
Oracle Java SE (Standard Edition) 是由Oracle公司开发和发布的Java平台的标准版本。它提供了一组核心的Java类库和工具,用于开发和运行Java应用程序和applet。
Oracle GraalVM Enterprise Edition是一种高性能的、多语言的虚拟机,由Oracle公司开发。它支持Java、 JavaScript、 LLVM语言(如C和C++)和其他语言,可以提高程序性能和启动速度。
未经身份验证的攻击者通过多种协议发送恶意请求,最终会导致对Oracle Java SE、Oracle GraalVM Enterprise Edition中数据进行未经授权的修改。
CVE-2024-20927
受影响产品:
Oracle WebLogic Server 12.2.1.4.0及之前版本, 14.1.1.0.0及之前版本
详情:
Oracle WebLogic Server是一种用于构建、部署和管理大型分布式Web应用程序、网络应用程序和数据库应用程序的中间件产品。它提供了一组强大的工具来管理应用程序的生命周期,并且支持多种编程语言和多种协议。WebLogic Server是一种商业产品,由Oracle公司开发和销售。
未经身份验证的攻击者通过HTTP协议发送恶意请求,最终会导致对Oracle Oracle WebLogic Server中数据进行未经授权的修改。
CVE-2024-20931
受影响产品:
Oracle WebLogic Server 12.2.1.4.0及之前版本, 14.1.1.0.0及之前版本
详情:
Oracle WebLogic Server是一种用于构建、部署和管理大型分布式Web应用程序、网络应用程序和数据库应用程序的中间件产品。它提供了一组强大的工具来管理应用程序的生命周期,并且支持多种编程语言和多种协议。WebLogic Server是一种商业产品,由Oracle公司开发和销售。
未经身份验证的攻击者通过T3, IIOP协议发送恶意请求,最终会导致对Oracle Oracle WebLogic Server中数据进行未经授权的访问。
04 修复建议
及时安装各产品的安全补丁, 详细细节参考https://www.oracle.com/security-alerts/cpujan2024.html
05 参考资料
https://www.oracle.com/security-alerts/cpujan2024verbose.html
23A
四叶草安全
m/update-guide/rleaseNote/2023-Apr
推荐站内搜索:最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论,来说两句吧...