保安警报 (A19-10-04): Oracle Java 及 Oracle 产品多个漏洞 (2019年10月)

描述:

Oracle 发布了重要修补程式更新公告，包括一系列应对 Java SE 和不同 Oracle 产品中多个漏洞的安全修补程式。

在多个受影响的 Java 子部件中，包括2D、Concurrency、Deployment、Hotspot、JAXP、JavaFX(libxslt)、Javadoc、Kerberos、Libraries、Networking、Scripting、Security 及 Serialization ，发现了20个漏洞。所有漏洞均可被未获授权的攻击者从远端攻击。

对于在其他 Oracle 产品中发现的漏洞，攻击者可透过实体访问或通过多种规约，包括HTTP、HTTPS、Kerberos、MySQL Protocol、MySQL Workbench、NTP、OracleNet、SNMP、SSH、T3 或 TLS 经网络从远端攻击。

攻击者可通过多种方式攻击受影响的系统。对于 Java，攻击者可诱使用户开启载有不可靠 Java applet 的特制网页、开启含恶意内容的 Java Web Start 应用程式，或者通过 Web service提交特制数据到指定部件中的 API。对于其他 Oracle 产品，远端攻击者可传送特制的网络封包到受影响系统攻击这些漏洞。

受影响的系统:

• Oracle Java SE
• Database
• Oracle Linux and Virtualization
• Oracle MySQL Product Suite
• Oracle and Sun Systems Products Suite
• Fusion Applications and Middleware
• Oracle Support Tools

有关受影响产品的完整列表，请参阅以下连结:
https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html

影响:

成功攻击这些漏洞可导致拒绝服务、篡改数据、泄漏资讯或控制受影响的系统，视乎攻击者利用哪个漏洞而定。

建议:

现已有适用于受影响系统的修补程式。受影响系统的用户应遵从产品供应商的建议，立即采取行动以降低风险。

Oracle Java SE 产品的修补程式可从以下连结下载:

• Java Platform SE 8u231 (JDK 及 JRE),
• Java Platform SE 11.0.5 (JDK 及 JRE)
• Java Platform SE 13.0.1 (JDK 及 JRE)

http://www.oracle.com/technetwork/java/javase/downloads/index.html

关于其他 Oracle 产品，请参阅供应商网站相关安全公告中 “Patch Availability Table and Risk Matrices＂的部分:
https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html

用户可联络其产品支援供应商，以取得修补程式及有关支援。

进一步信息:

https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html
https://www.oracle.com/technetwork/java/javase/11u-relnotes-5093844.html
https://www.oracle.com/technetwork/java/javase/13u-relnotes-5461742.html
https://www.oracle.com/technetwork/java/javase/documentation/8u-relnotes-2225394.html
https://www.hkcert.org/my_url/zh/alert/19101604
https://www.us-cert.gov/ncas/current-activity/2019/10/15/oracle-releases-october-2019-security-bulletin
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-5180
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-9251
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-0729
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-4000
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6814
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-7103
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1000031
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5645
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-6056
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-12626
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17558
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0732
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-2875
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-3300
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-7185
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8037
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-11784
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-12404
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-14721
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15756
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-18066
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-19362
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1000007
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0188
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0211
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0227
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0232
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1543
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1547
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1549
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1559
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2734
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2765
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2872
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2883
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2884
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2886 (to CVE-2019-2891)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2894 (to CVE-2019-2907)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2909 (to CVE-2019-2911)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2913 (to CVE-2019-2915)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2920
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2922 (to CVE-2019-2927)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2929 (to CVE-2019-3005)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3008 (to CVE-2019-3012)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3014
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3015
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3017 (to CVE-2019-3028)
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3031
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3862
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5443
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6109
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8457
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9511
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9517
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10072
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10247
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-11068
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-11358
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12086
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12814
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-14379
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-17091