甲骨文資料庫客戶2/3從未修補漏洞

甲骨文即將在周三（1/16）發布2008年首次的定期安全更新，不過，根據一份使用者調查指出，大多數的資料庫管理員們恐怕不會買帳。

美國資料庫安全軟體公司Sentrigo周一（1/14）發布一份使用者調查結果指出，甲骨文的客戶裡只有十分之一的資料庫管理員（DBA）做了定期更新，且高達三分之二從未安裝過甲骨文的重大更新（Oracle Critical Patch Updates, CPUs）。

這份調查是在2007年8月開始，利用甲骨文使用者團體（Oracle Users Group, OUG）在全美各地的會議進行調查，受訪者共305位專業人士，除主要的資料庫管理員之外，還有顧問及開發者。

結果顯示，在「你是否有安裝最新的Oracle CPU？」的問題裡，只有31位有更新，相當於受訪者的10%；在「你是否曾經安裝過Oracle CPU？」這個問題裡，竟有高達206位，相當於67.5%受訪者回答從未安裝過。

Oracle CPUs是甲骨文每季定期發布的安全更新，藉以協助客戶修補近期所發現的資料庫或其他軟體內所發現的弱點。在明日即將發布的更新裡，預計會有27個修補程式，其中針對Oracle資料庫者會有8個。

DBA們若忽視每季的定期安全更新，將讓資料庫曝露於可能的漏洞攻擊。對此，Security Incite首席分析師Mike Rothman在新聞稿中表示，這樣的調查結果相當嚇人，資料庫是一家公司組織非常重要的固定資料存放之處，如果不定期修補，恐怕會有麻煩。

然而，要安裝Oracle CPU並不是件簡單的事，例如，會有停機時間，還有應用程式的相容問題，這意謂著很可能要經過冗長的資料庫及應用測試，通常這也是管理員不願做安全更新的原因。而Sentrigo發布這份調查結果強調這個問題的目的，也是希望推銷其Hedgehog產品。

Hedgehog是一款代管式的資料庫行為監控與保護軟體，用來偵測及防止未經授權的資料庫使用，例如駭客及公司內部人員的入侵。Sentrigo表示，Hedgehog的虛擬修補功能夠為已經發現但尚未修補的資料庫漏洞提供保護。該公司技術長Slavik Markovich表示，這項功能提供一個安全層而讓資料庫更新不需停機，同時讓應用程式的資料庫存取可以透明化。（編譯/郭和杰）