Oracle客户端11.2和Oracle客户端12是否存在Log4j安全问题

Question

我正在阅读Log4j的安全问题，我知道该产品受到该漏洞的影响。但是Oracle客户端11.2和12是否受到此问题的影响？

我找不到这些产品是否使用任何Log4j依赖项，也找不到任何说明这些产品是否受到影响的文档。

其他Oracle产品是否受到此问题的影响？在哪里我可以检查这些客户端使用的依赖项？

Answer 1

下面的链接将让您知道哪些Oracle产品需要Log4j补丁。

以下是文档的一部分，显示了Log4j2补丁不需要的Oracle产品列表。

5.0 Oracle产品不需要修补程序

目前，Oracle认为以下产品不会受到漏洞CVE-2021-44228的影响：

• 应用程序测试套件[产品ID 4622]
• Argus Analytics[产品ID 9171]
• Argus Mart[产品ID 10383]
• 银行数字化体验[产品ID 12605]
• Berkeley DB[产品ID 2051]
• 商业平台[产品ID 9348]
• 商务服务中心[产品ID 9351]
• 通信聚合应用程序服务器[产品ID 5382]
• Communications EAGLE FTP表库检索[产品ID 11116]
• 通信网络完整性[产品ID 4491]
• 通信订单和服务管理[产品ID 2270]
• CRF提交请求人[产品ID 9641]
• APPC的数据库网关[产品ID 774]
• 德兰特需求管理[产品ID 2100]
• 企业数据质量[产品ID 9464]
• MySQL数据库Enterprise Manager[产品ID 11166]
• Exalytics软件[产品ID 9736]
• FLEXCUBE直接银行业务[产品ID 9111]
• 健康保险索赔管理数据集市[产品ID 9313]
• 健康保险数据管理[产品ID 10643]
• 医疗保健数据存储库[产品ID 9161]
• JD Edwards EnterpriseOne部署服务器[产品ID 4781]
• JD Edwards EnterpriseOne Enterprise Server[产品ID 4781]
• JD Edwards EnterpriseOne Enterprise Server平台包[产品ID 4781]
• JD Edwards EnterpriseOne服务器经理[产品ID 4781]
• JD Edwards World[产品ID 4839]
• 移动应用程序框架[产品ID 11055]
• MySQL服务器[产品ID 8478]
• Oracle Access Manager/Webgates[产品ID 5565]
• Oracle Access Manager[产品ID 5565]
• Oracle Application Express[产品ID 1348]
• Oracle Audit Vault和数据库防火墙[产品ID 9749]
• Oracle大数据空间和图形[产品ID 11528]
• Oracle区块链云服务[产品ID 13444]
• Oracle Business Intelligence Enterprise Edition[产品ID 2025]
• Oracle Business Intelligence Publisher[产品ID 1479]
• Oracle客户端[产品ID 5]
• Oracle Coherence[产品ID 2545]
• Oracle商务引导搜索/Oracle商务体验经理[产品ID 9633]
• Oracle通信日历服务器[产品ID 8494]
• Oracle Communications Contacts服务器[产品ID 10696]
• Oracle通信控制平面监视器[产品ID 10764]
• Oracle Communications EAGLE[产品ID 10768]
• Oracle Communications EAGLE应用程序处理器[产品ID 11122]
• Oracle Communications EAGLE元素管理系统[产品ID 11125]
• Oracle Communications EAGLE LNP应用程序处理器[产品ID 11118]
• Oracle通信欺诈监控程序[产品ID 10763]
• Oracle Communications LSMS[产品ID 11114]
• Oracle Communications MetaSolv解决方案[产品ID 2267]
• Oracle Communications Operations Monitor[产品ID 10761]
• Oracle通信会话边界控制器[产品ID 10750]
• Oracle Communications用户数据存储库[产品ID 11108]
• Oracle数据库(不可利用)[产品ID 5][参见MOS注释2796575.1]
• Oracle数据库设备[产品ID 9435]
• Oracle数据库全球服务经理[产品ID 5]
• Oracle Directory Server Enterprise Edition[产品ID 8512]
• Oracle Documaker[产品ID 5477]
• Oracle Enterprise Operations Monitor[产品ID 10762]
• Oracle企业会话边界控制器[产品ID 10757]
• Oracle Enterprise Telephony Fraud Monitor[产品ID 13804]
• Oracle Exadata存储服务器软件[产品ID 2546]
• Oracle故障保护[产品ID 843]
• Oracle Forms[产品ID 45]
• Oracle全球生命周期管理存储库创建实用程序[产品ID 12746]
• Oracle GoldenGate[产品ID 5757]
• 适用于HP Nonstop的Oracle GoldenGate[产品ID 13046]
• Oracle健康保险索赔管理[产品ID 9307]
• Oracle健康保险索赔管理Web服务[产品ID 9311]
• Oracle健康保险支出和收款[产品ID 9308]
• Oracle健康保险长期护理[产品ID 9394]
• Oracle健康保险单管理[产品ID 9306]
• Oracle健康保险单管理数据集市[产品ID 9312]
• Oracle健康保险单管理Web服务[产品ID 9310]
• Oracle Health Sciences认为安全[产品ID 5710]
• Oracle Health Sciences临床开发分析[产品ID 5563]
• Oracle Health Sciences InForm[产品ID 9636]
• Oracle Hospitality RES 3700[产品ID 11596]
• Oracle Hospitality Simphony[产品ID 11594]
• Oracle Hospitality Simphony第一版[产品ID 11591]
• Oracle HTTP服务器[产品ID 1042]
• Oracle Internet目录[产品ID 355]
• Oracle密钥保管库[产品ID 10221]
• Oracle MapViewer[产品ID 1215]
• Oracle MiniCluster S7-2工程系统[产品ID 12598]
• Oracle NoSQL数据库[产品ID 13373]
• Oracle零售高级库存计划[产品ID 1785]
• Oracle零售数据模型[产品ID 2538]
• Oracle SD-WAN Aware[产品ID 13941]
• Oracle SD-WAN边缘[产品ID 13940]
• Oracle安全备份[产品ID 1522]
• 利用Tuxedo的Oracle服务体系结构(SALT)[产品ID 5435]
• Oracle SOA套件[产品ID 1162]
• Oracle StorageTek磁带分析[产品ID 10085]
• Oracle TimesTen内存数据库[产品ID 1870]
• Oracle Tuxedo应用程序重组工作台[产品ID 8485]
• 用于OSI TP的Oracle Tuxedo大型机适配器[产品ID 5439]
• Oracle虚拟机[产品ID 4455]
• Oracle VM VirtualBox[产品ID 8370]
• Oracle Warehouse Builder[产品ID 9]
• Oracle WebCenter内容[产品ID 2271]
• Oracle WebCenter内容：图像[产品ID 4576]
• Oracle WebCenter企业捕获[产品ID 10212]
• Oracle WebLogic服务器(不可利用)[产品ID 5242][参见MOS说明2827793.1]
• Oracle ZFS存储设备套件[产品ID 10026]
• PeopleSoft Enterprise CRM客户端管理[产品ID 4860]
• PeopleSoft Enterprise CS安装[产品ID 9068]
• PeopleSoft Enterprise FIN安装[产品ID 8925]
• PeopleSoft Enterprise FIN Supply Chain Portal Pack巴西[产品ID 8883]
• PeopleSoft Enterprise HCM人力资源[产品ID 5071]
• PeopleSoft Enterprise PRTL交互中心[产品ID 5090]
• 移动设备的策略自动化[产品ID 5626]
• 便携式ClusterWare[产品ID 5]
• 私有云设备[产品ID 10635]
• 快速规划[产品ID 5235]
• 安全全球桌面[产品ID 8539]
• Siebel Core-服务安全性[产品ID 9001]
• Sun StorageTek磁带库ACSLS[产品ID 10088]
• Tekelec平台[产品ID 11269]
• 运输管理[产品ID 1991]
• 通用安装程序[产品ID 662]
• 零数据丢失恢复设备[产品ID 11342]

参考(需要登录)：

https://support.oracle.com/epmos/faces/DocumentDisplay?_afrLoop=294496371045198&id＝2827611.1&amp_afrWindowMode=0&amp_adf.ctrl状态=aof21bja3_4

Answer 2

Oracle的说明说不需要修补Oracle客户端：

5.0不需要修补程序的Oracle产品：
Oracle客户端[产品ID 5]

但是，我在Oracle Client 12.2安装中看到了Log4j文件：

..product12.2.0client_1sqldevelopersqldeveloperliblog4j-1.2.13.jar

我有点困惑。。。

Answer 3

看起来它使用的是Log4j 1.2版本，该版本不受Log4j当前漏洞的影响。这就是为什么它被列为不需要补丁的原因。