甲骨文更改漏洞修補政策　資訊將更透明

一向吝於與使用者或安全專家分享該公司漏洞資訊的甲骨文（Oracle）終於開竅，決定會公開所修補的漏洞資訊，並且將這些漏洞進行風險分級，以讓使用者較為了解自己所面臨的漏洞安全危機。

過去甲骨文處理產品漏洞的方式及速度一直為人所詬病，一開始安全專家抨擊甲骨文修補漏洞的速度很慢，再來是甲骨文對於自家產品的漏洞資訊保護周到，幾乎是完全不洩露任何漏洞細節，也不告知這些漏洞可能會引發什麼安全危機，甚至未提供風險等級，這讓使用者分不清楚哪些漏洞必須要優先更新。

不過，近來甲骨文從善如流，先是開始提供每季一次的定期更新，而甲骨文的安全通知部門資深經理Darius Wiles也在本周表示，自下周二（10/17）的每季更新日開始，該公司將提供安全漏洞的概要說明，而且會提供哪些漏洞可能導致遠端攻擊等安全資訊。

此外，甲骨文也決定要採用通用漏洞評估系統（Common Vulnerability Scoring System，CVSS）來進行漏洞風險分級，CVSS採用更為嚴謹的分級方式，總計有一到十級，提供企業清楚了解每個漏洞所帶來的風險。

這也是首家主要軟體業者採用通用的CVSS漏洞分級方式，因為包括賽門鐵克、McAfee及微軟等業者都使用自己的風險評估機制。

Darius Wiles說，客戶要求透過更好的方式取得資訊，客戶想要有一些客觀的分級制度以讓他們清楚什麼東西是重要的。

此外，甲骨文的安全長也開始撰寫部落格，並且不再避諱與媒體討論甲骨文產品的安全問題。（編譯/陳曉莉）