Oracle Security Alert for CVE-2012-

Oracle Security Alert for CVE-2012-1675

Description

This security alert addresses the security issue CVE-2012-1675, a vulnerability in the TNS listener which has been recently disclosed as "TNS Listener Poison Attack" affecting the Oracle Database Server. This vulnerability may be remotely exploitable without authentication, i.e. it may be exploited over a network without the need for a username and password. A remote user can exploit this vulnerability to impact the confidentiality, integrity and availability of systems that do not have recommended solution applied.

Affected Products and Versions
Oracle Database 11g Release 2, versions 11.2.0.2, 11.2.0.3, 11.2.0.4
Oracle Database 11g Release 1, version 11.1.0.7
Oracle Database 10g Release 2, versions 10.2.0.3, 10.2.0.4, 10.2.0.5
Since Oracle Fusion Middleware, Oracle Enterprise Manager, Oracle E-Business Suite include the Oracle Database component that is affected by this vulnerability, Oracle recommends that customers apply the solution for this vulnerability to the Oracle Database component.

Supported Products and Versions

Security Alert solutions are provided only for product versions that are covered under the Premier Support or Extended Support phases of the Lifetime Support Policy. We recommend that customers plan product upgrades to ensure that Security Alert solutions are available for the versions they are currently running.

Product releases that are not under Premier Support or Extended Support are not tested for the presence of vulnerability addressed by this Security Alert. However, it is likely that earlier versions of affected releases are also affected by this vulnerability.

Supported Database is patched in accordance with the Software Error Correction Support Policy explained in My Oracle Support Note 209768.1. Please review the Technical Support Policies for further guidelines regarding support policies and phases of support.

Products in Extended Support

Security Alert solutions are available to customers who have purchased Extended Support under the Lifetime Support Policy. Customers must have a valid Extended Support service contract to apply Security Alert solutions for products in the Extended Support Phase.

Solution

Recommendations for protecting against this vulnerability can be found at:

My Oracle Support Note 1340831.1 for Oracle Database deployments that use Oracle Real Application Clusters (RAC).
My Oracle Support Note 1453883.1 for Oracle Database deployments that do not use RAC.
Please note that Oracle has added Oracle Advanced Security SSL/TLS to the Oracle Database Standard Edition license when used with the Real Application Clusters and Oracle has added Oracle Advanced Security SSL/TLS to the Enterprise Edition Real Application Clusters (Oracle RAC) and RAC One Node options so that the directions provided in the Support Notes referenced above can be applied by all Oracle customers without additional cost.

Note: Please refer to the Oracle licensing documentation available on Oracle.com regarding licensing changes that allow Oracle Advanced Security SSL/TLS to be used with Oracle SE Oracle Real Application Clusters and Oracle Enterprise Edition Real Application Customers (Oracle RAC) and Oracle RAC OneNode Options.

Due to the threat posed by a successful attack, Oracle strongly recommends that customers apply this Security Alert solution as soon as possible.

ผลลัพธ์ (ไทย) 1:

แจ้งเตือนความปลอดภัย oracle สำหรับ CVE-2012-1675คำอธิบายแจ้งเตือนการรักษาความปลอดภัยนี้อยู่ความปลอดภัยปัญหา CVE-2012-1675 ช่องโหว่ในฟัง TNS ซึ่งได้ถูกเปิดเผยเมื่อเร็ว ๆ นี้เป็น "TNS ฟังพิษโจมตี" มีผลต่อเซิร์ฟเวอร์ฐานข้อมูล Oracle ช่องโหว่นี้อาจ exploitable จากระยะไกล โดยไม่มีการรับรองความถูกต้อง เช่นอาจสามารถผ่านเครือข่ายโดยไม่ต้องมีชื่อผู้ใช้และรหัสผ่าน ผู้ใช้ระยะไกลสามารถใช้ช่องโหว่นี้ส่งผลกระทบต่อความลับ ความซื่อสัตย์ และความพร้อมของระบบที่ไม่มีการแนะนำการแก้ไขปัญหารุ่นและผลิตภัณฑ์ที่ได้รับผลกระทบฐานข้อมูล oracle 11g รุ่น 2 รุ่น 11.2.0.2, 11.2.0.3, 11.2.0.4ฐานข้อมูล oracle 11g รุ่น 1 รุ่น 11.1.0.7ฐานข้อมูล oracle 10 กรัมรุ่น 2 รุ่น 10.2.0.3, 10.2.0.4, 10.2.0.5เนื่องจาก Oracle ฟิวชั่นมิดเดิลแวร์ Oracle องค์กร Manager, Oracle E-ห้องสวีทรวมคอมโพเนนต์ฐานข้อมูล Oracle ที่ใช้ช่องโหว่นี้ Oracle แนะนำให้ ลูกค้าใช้โซลูชั่นสำหรับช่องโหว่นี้ในการคอมโพเนนต์ฐานข้อมูล Oracleสนับสนุนผลิตภัณฑ์และรุ่นมีโซลูชั่นแจ้งเตือนความปลอดภัยสำหรับรุ่นผลิตภัณฑ์ที่ครอบคลุมภายใต้ระยะสนับสนุนพรีเมียร์หรือขยายสนับสนุนนโยบายสนับสนุนชีวิต เท่านั้น เราขอแนะนำให้ ลูกค้าวางแผนการอัพเกรดสินค้าเพื่อให้แน่ใจว่า มีรุ่นที่พวกเขากำลังใช้โซลูชั่นรักษาความปลอดภัยแจ้งเตือนไม่มีทดสอบรุ่นผลิตภัณฑ์ที่ไม่ได้อยู่ภายใต้การสนับสนุนพรีเมียร์หรือสนับสนุนเพิ่มเติมสำหรับสถานะของช่องโหว่การแจ้งเตือนความปลอดภัยนี้ อย่างไรก็ตาม ก็มีแนวโน้มว่า รุ่นก่อนหน้าของรุ่นที่ได้รับผลกระทบจะส่งผลกระทบ โดยช่องโหว่นี้สนับสนุนฐานข้อมูลถูกปรับปรุงตามซอฟต์แวร์ข้อผิดพลาดการแก้ไขสนับสนุนนโยบายอธิบายใน 209768.1 หมายเหตุสนับสนุน Oracle ของฉัน กรุณาตรวจสอบในทางเทคนิคสนับสนุนนโยบายสำหรับคำแนะนำเพิ่มเติมเกี่ยวกับนโยบายสนับสนุนและระยะของการสนับสนุนผลิตภัณฑ์ในการสนับสนุนเพิ่มเติมโซลูชั่นแจ้งเตือนความปลอดภัยมีลูกค้าที่ซื้อขยายการสนับสนุนภายใต้นโยบายสนับสนุนของอายุการใช้งาน ลูกค้าต้องมีสัญญาการบริการสนับสนุนเพิ่มเติมถูกต้องการใช้โซลูชั่นรักษาความปลอดภัยแจ้งเตือนสำหรับผลิตภัณฑ์ในขั้นตอนการสนับสนุนการขยายโซลูชั่นคำแนะนำสำหรับการป้องกันช่องโหว่นี้สามารถพบได้ที่:ฉัน Oracle สนับสนุนบินให้หมายเหตุเที่ยว 1340831.1 สำหรับการปรับใช้ฐานข้อมูล Oracle ที่ใช้ Oracle จริงแอพพลิเคชันคลัสเตอร์ (RAC)ฉัน Oracle สนับสนุนบินให้หมายเหตุเที่ยว 1453883.1 สำหรับการปรับใช้ฐานข้อมูล Oracle ที่ใช้ RACโปรดสังเกตว่ามีเพิ่ม Oracle Oracle ขั้นสูงความปลอดภัย SSL/มรท การอนุญาตฉบับมาตรฐานของฐานข้อมูล Oracle เมื่อใช้กับคลัสเตอร์แอพพลิเคชันจริงและ Oracle ได้เพิ่ม Oracle ขั้นสูงความปลอดภัย SSL/มรท องค์กร Edition จริงแอพพลิเคชันคลัสเตอร์ (Oracle RAC) และตัวเลือกโหน RAC เพื่อให้คำแนะนำในหมายเหตุสนับสนุนอ้างอิงข้างต้น สามารถใช้ โดยลูกค้า Oracle ทั้งหมดโดยไม่มีต้นทุนเพิ่มเติมหมายเหตุ: โปรดดูการ Oracle ที่อนุญาตให้ใช้สิทธิ์เอกสารใน Oracle.com เกี่ยวกับการเปลี่ยนแปลงการอนุญาตที่ให้ Oracle ขั้นสูงความปลอดภัย SSL/มรท ใช้ Oracle SE Oracle จริงแอพพลิเคชันคลัสเตอร์ และ Oracle รุ่นจริงประยุกต์ ลูกค้าองค์กร (Oracle RAC) Oracle RAC OneNode ตัวจากการคุกคาม โดยการโจมตีที่ประสบความสำเร็จ Oracle ขอแนะนำให้ ลูกค้าใช้โซลูชั่นรักษาความปลอดภัยแจ้งเตือนนี้โดยเร็วที่สุด

ผลลัพธ์ (ไทย) 2:

ออราเคิลสำหรับการรักษาความปลอดภัยการแจ้งเตือน CVE-2012-1675 รายละเอียดการแจ้งเตือนความปลอดภัยนี้เน้นปัญหาการรักษาความปลอดภัย CVE-2012-1675, ช่องโหว่ในการฟัง TNS ซึ่งได้รับการเปิดเผยเมื่อเร็ว ๆ นี้ว่า "TNS ฟังพิษโจมตี" ส่งผลกระทบต่อฐานข้อมูลของออราเคิลเซิร์ฟเวอร์ ช่องโหว่นี้อาจจะเป็นประโยชน์ในระยะไกลโดยไม่ต้องตรวจสอบคือมันอาจจะใช้ประโยชน์ผ่านเครือข่ายโดยไม่ต้องใช้ชื่อผู้ใช้และรหัสผ่าน ผู้ใช้ระยะไกลสามารถใช้ประโยชน์จากช่องโหว่นี้ส่งผลกระทบต่อการรักษาความลับความสมบูรณ์และความพร้อมของระบบที่ไม่ได้ใช้วิธีการแก้ปัญหาที่แนะนำ. ผลิตภัณฑ์ได้รับผลกระทบและรุ่นOracle Database 11g รีลีส 2 รุ่น 11.2.0.2, 11.2.0.3, 11.2.0.4 Oracle Database 11g ปล่อย 1 รุ่น 11.1.0.7 Oracle Database 10g รีลีส 2 รุ่น 10.2.0.3, 10.2.0.4, 10.2.0.5 ตั้งแต่ Oracle Fusion Middleware ออราเคิลจัดการองค์กร Oracle E-Business Suite รวมถึงฐานข้อมูลของออราเคิลส่วนประกอบที่เป็นผลกระทบจากช่องโหว่นี้ ออราเคิลแนะนำให้ลูกค้านำไปใช้แก้ปัญหาสำหรับช่องโหว่นี้จะเป็นส่วนประกอบของ Oracle Database. ผลิตภัณฑ์ที่สนับสนุนและรุ่นการแก้ปัญหาการแจ้งเตือนการรักษาความปลอดภัยมีให้เฉพาะสำหรับรุ่นผลิตภัณฑ์ที่ได้รับความคุ้มครองภายใต้การสนับสนุนพรีเมียร์หรือขั้นตอนการขยายการสนับสนุนนโยบายการสนับสนุนในชีวิต เราขอแนะนำให้ลูกค้าอัพเกรดผลิตภัณฑ์แผนเพื่อให้แน่ใจว่าการแก้ปัญหาการแจ้งเตือนการรักษาความปลอดภัยที่มีอยู่สำหรับรุ่นที่พวกเขากำลังทำงานอยู่. รุ่นสินค้าที่ไม่อยู่ภายใต้การสนับสนุนพรีเมียร์หรือขยายการสนับสนุนไม่ได้ผ่านการทดสอบการปรากฏตัวของช่องโหว่ที่ได้รับการแจ้งเตือนนี้การรักษาความปลอดภัย แต่ก็เป็นไปได้ว่ารุ่นก่อนหน้านี้ของรุ่นได้รับผลกระทบนอกจากนี้ยังได้รับผลกระทบจากช่องโหว่นี้. ฐานข้อมูลรองรับการติดตั้งให้สอดคล้องกับข้อผิดพลาดซอฟท์แวนโยบายการสนับสนุนการแก้ไขอธิบายในการสนับสนุนของออราเคิลฉันหมายเหตุ 209,768.1 โปรดตรวจสอบนโยบายการสนับสนุนด้านเทคนิคสำหรับแนวทางเพิ่มเติมเกี่ยวกับนโยบายการสนับสนุนและขั้นตอนของการสนับสนุน. ผลิตภัณฑ์ในการขยายการสนับสนุนการแก้ปัญหาการแจ้งเตือนการรักษาความปลอดภัยที่มีอยู่ให้กับลูกค้าที่ได้สั่งซื้อขยายการสนับสนุนภายใต้นโยบายการสนับสนุนในชีวิต ลูกค้าจะต้องมีความถูกต้องสัญญาบริการขยายการสนับสนุนที่จะใช้แก้ปัญหาการแจ้งเตือนการรักษาความปลอดภัยสำหรับผลิตภัณฑ์ในการสนับสนุนการขยายเฟส. โซลูชั่นคำแนะนำสำหรับการป้องกันช่องโหว่นี้สามารถพบได้ที่: ฝ่ายสนับสนุนของออราเคิลฉันหมายเหตุ 1,340,831.1 สำหรับ Oracle การใช้งานฐานข้อมูลที่ใช้ Oracle Real Application Clusters ( RAC). การสนับสนุนของออราเคิลฉัน 1,453,883.1 หมายเหตุสำหรับ Oracle การใช้งานฐานข้อมูลที่ไม่ได้ใช้แร็ค. โปรดทราบว่าออราเคิลได้เพิ่มออราเคิลความปลอดภัยขั้นสูง SSL / TLS เพื่อสิทธิ์การใช้งาน Oracle Database Standard Edition เมื่อใช้ร่วมกับ Real Application กลุ่มและ Oracle ได้เพิ่มออราเคิลขั้นสูง การรักษาความปลอดภัย SSL / TLS กับ Enterprise Edition Real Application Clusters (Oracle RAC) และ RAC หนึ่งตัวเลือกโหนดเพื่อให้ทิศทางที่ให้ไว้ในหมายเหตุสนับสนุนอ้างถึงข้างต้นสามารถนำมาใช้โดยลูกค้าของออราเคิลโดยไม่มีค่าใช้จ่ายเพิ่มเติม. หมายเหตุ: โปรดดูที่การออกใบอนุญาตของออราเคิล เอกสารที่มีอยู่บน Oracle.com เกี่ยวกับการเปลี่ยนแปลงการออกใบอนุญาตที่ช่วยให้ออราเคิลความปลอดภัยขั้นสูง SSL / TLS เพื่อนำมาใช้กับ Oracle SE ของ Oracle Real Application Clusters และ Oracle Enterprise Edition ลูกค้าการใช้งานจริง (Oracle RAC) และ Oracle RAC ตัวเลือก OneNode. เนื่องจากภัยคุกคามที่เกิดจาก การโจมตีที่ประสบความสำเร็จของออราเคิลขอแนะนำให้ลูกค้านำไปใช้แก้ปัญหานี้การแจ้งเตือนการรักษาความปลอดภัยโดยเร็วที่สุดเท่าที่เป็นไปได้

ผลลัพธ์ (ไทย) 3:

Oracle การรักษาความปลอดภัยแจ้งเตือนสำหรับ cve-2012-1675

รายละเอียด

นี้แจ้งเตือนความปลอดภัยที่อยู่ปัญหาด้านความปลอดภัย cve-2012-1675 , ช่องโหว่ใน TNS ผู้ฟังซึ่งเพิ่งเปิดเผยว่า " TNS ฟังยาพิษโจมตี " มีผลกระทบต่อฐานข้อมูล Oracle เซิร์ฟเวอร์ ช่องโหว่นี้อาจจะไกล exploitable โดยไม่ตรวจสอบ ได้แก่มันอาจจะใช้ผ่านเครือข่ายโดยไม่ต้องใช้ชื่อผู้ใช้และรหัสผ่าน ผู้ใช้ระยะไกลสามารถใช้ประโยชน์จากช่องโหว่นี้ส่งผลกระทบต่อความลับ ความสมบูรณ์ และความพร้อมของระบบที่ไม่ได้มีโซลูชั่นที่แนะนำให้ใช้ ผลิตภัณฑ์รุ่น


ได้รับผลกระทบและ Oracle Database 11g รุ่น 2 , รุ่น 11.2.0.2 11.2.0.3 11.2.0.4
, , ฐานข้อมูล Oracle 11g รุ่น 1 , รุ่น 11.1.0.7
ฐานข้อมูล Oracle 10g รุ่น 2 , รุ่น 10.2.0.3 10.2.0.4 10.2.0.5
, , ตั้งแต่ปรับปรุงการ Oracle , Oracle Enterprise Manager , Oracle E-Business Suite รวมฐานข้อมูล ส่วนประกอบที่ได้รับผลกระทบจากช่องโหว่นี้ , Oracle แนะนำให้ลูกค้าใช้โซลูชั่นสำหรับช่องโหว่นี้ไปยังฐานข้อมูลของออราเคิลส่วนประกอบ

สนับสนุนผลิตภัณฑ์และรุ่น

โซลูชั่นรักษาความปลอดภัยที่มีให้เฉพาะสำหรับผลิตภัณฑ์รุ่นที่ครอบคลุมภายใต้นายกรัฐมนตรีสนับสนุนหรือการสนับสนุนการขยายระยะของอายุการใช้งานการสนับสนุนนโยบาย เราแนะนำให้ลูกค้าวางแผนผลิตภัณฑ์การปรับรุ่นเพื่อให้แน่ใจว่าโซลูชั่นรักษาความปลอดภัยที่ใช้ได้สำหรับรุ่นที่พวกเขากำลังวิ่ง

ผลิตภัณฑ์รุ่นที่ไม่ได้อยู่ภายใต้การสนับสนุนนายกรัฐมนตรีหรือขยายการสนับสนุนไม่ได้ทดสอบสำหรับสถานะของความเสี่ยงที่ระบุ โดยแจ้งเตือนการรักษาความปลอดภัยนี้ อย่างไรก็ตาม มีแนวโน้มว่ารุ่นก่อนหน้าของรุ่นที่ได้รับผลกระทบจะได้รับผลกระทบจากช่องโหว่นี้

สนับสนุนฐานข้อมูลจะช่วยให้สอดคล้องกับซอฟต์แวร์การแก้ไขข้อผิดพลาดสนับสนุนนโยบายอธิบายในบันทึกสนับสนุน Oracle ของฉัน 209768 .1 . กรุณาทบทวนการสนับสนุนทางเทคนิคเพิ่มเติมเกี่ยวกับนโยบายสนับสนุนนโยบายแนวทางและขั้นตอนของสนับสนุน

ผลิตภัณฑ์ในการสนับสนุนการขยาย

แจ้งเตือนการรักษาความปลอดภัยโซลูชั่นที่สามารถใช้ได้กับลูกค้าที่ได้ซื้อขยายการสนับสนุนภายใต้อายุการใช้งานการสนับสนุนนโยบายลูกค้าต้องมีถูกต้องขยายสัญญาบริการสนับสนุนเพื่อใช้แจ้งเตือนการรักษาความปลอดภัยโซลูชั่นสำหรับผลิตภัณฑ์ในการสนับสนุนการขยายเฟส



แนะนำโซลูชั่นเพื่อป้องกันช่องโหว่นี้สามารถพบได้ที่ :

ผมสนับสนุน Oracle บันทึก 1340831.1 สำหรับฐานข้อมูล Oracle Real Application ) ที่ใช้กลุ่ม ( RAC ) .
หมายเหตุสนับสนุน Oracle ของฉัน 1453883 .1 การใช้งานที่ไม่ใช้ฐานข้อมูล Oracle RAC .
โปรดทราบว่า Oracle ได้เพิ่มระบบรักษาความปลอดภัย SSL / TLS ขั้นสูงฐานข้อมูล Oracle Standard Edition License เมื่อใช้กับ กลุ่ม Real Application และ Oracle ได้เพิ่มระบบ SSL / TLS การรักษาความปลอดภัยขั้นสูงองค์กร Edition จริงโปรแกรมกลุ่ม ( RAC หนึ่งโหนด Oracle RAC ) และตัวเลือกเพื่อให้เส้นทางที่ระบุไว้ในหมายเหตุอ้างอิงข้างต้นสามารถสนับสนุน ถูกใช้โดยทั้งหมดลูกค้าโดยไม่เสียค่าใช้จ่ายเพิ่มเติมหมายเหตุ

: โปรดดูที่ใบอนุญาตของ Oracle เอกสารเกี่ยวกับการเปลี่ยนแปลงสัญญาอนุญาตที่อนุญาตให้ oracle.com TLS / SSL สำหรับการรักษาความปลอดภัยขั้นสูง จะใช้กับ Oracle Oracle กลุ่มเซใช้งานจริง Oracle Enterprise Edition จริงโปรแกรมลูกค้า ( Oracle RAC ) และตัวเลือก onenode Oracle RAC

เนื่องจากการคุกคามจากการโจมตีที่ประสบความสำเร็จออราเคิล ขอแนะนำว่า ลูกค้าที่ใช้โซลูชั่นการรักษาความปลอดภัยแจ้งเตือนทันทีที่เป็นไปได้