DBSec Labs再次发现Oracle数据库重大漏洞

2021年1月19日，Oracle官网正式公布由安华金和数据库安全实验室（DBSec Labs）发现并提交的Oracle数据库高危漏洞 CVE-2021-2035，CVSS危害评分高达8.8，在当日的“Oracle数据库服务器风险列表”中排名第一！

该漏洞存在于Oracle数据库的默认配置中，且黑客等不法分子仅需较低权限即可利用该漏洞发起远程攻击，并导致服务器崩溃。由于该漏洞“易被利用且危害性极大”，安华金和特此提醒广大Oracle数据库用户，请及时进行版本更新以修复该漏洞。

漏洞影响

Oracle数据库中检查兼容性的函数存在堆栈溢出漏洞。当Oracle数据库试图解析XML文件中元素的值时，函数发生溢出，溢出数据将覆盖返回地址，最终导致返回地址被攻击者所利用。

防范措施

建议 Oracle Database Server 12.1.0.2 / 12.2.0.1 / 18c / 19c 四个版本的用户及时登录Oracle官网，下载并安装最新版本，以修复该漏洞。

漏洞详情

如需了解更多漏洞详情，可参阅Oracle官网于2021年1月19日发布的完整公告信息，网址如下：www.oracle.com/security-alerts/cpujan2021.htmlwww.oracle.com/a/tech/docs/cpujan2021cvrf.xml

关于DBSec Labs

安华金和数据库安全实验室成立于2010年11月，是中国第一批成立的、规模化的数据库安全研究机构，是具备“国际数据库漏洞挖掘能力”的专业实验室，也是国内首个针对数据库漏洞进行系统分类与定性分析的专业团队。

截至目前，安华金和数据库安全实验室向IBM、Oracle、Informix、DB2、MongoDB及达梦、人大金仓、Gbase等国内外主流数据库厂商提交并获认证的数据库漏洞累计高达109个（含国际漏洞36个，国内漏洞73个），其中包括1个超高危漏洞、41个高危漏洞，43个中危漏洞，12个低危漏洞；累计复现数据库漏洞 74个，其中高危漏洞 23个，中危漏洞 29个，低危漏洞 5个，未定级漏洞 17个。

作为一支能够独立且持久针对数据库漏洞、数据库攻击技术模拟与数据库安全防护技术进行研究的专业队伍，DBSec Labs重点围绕数据库自身、数据库使用环节存在的安全漏洞，以及黑客如何利用数据库漏洞对客户信息资产进行侵害等问题，分析研究防御手段以降低数据库安全风险，实现对数据资产的有效保护。

扩展阅读

卫冕 | 安华金和获2020年杰出安全实验室专访 | 36氪对话「安华金和」CEO刘晓韬解读 | 如何让DBA不能“删库”也无法“跑路”重磅 | 安华金和完成约2亿人民币D轮融资足迹 | 安华金和2020年度大事件盘点回顾