1.分析及解决方案概述分析原因 通过对现有信息的分析可以看到主机漏洞是由于RAC的ons引起。ons使用6100、6200端口进行集群内部通信。解决方案 针对现有情况建议如下1启用防火墙确保只有RAC集群节点机器可以访问6100/6200 端口。后续计划 启用防火墙确保只有RAC集群节点机器可以访问6100/6200 端口。2.问题描述03月4日XX系统出现漏洞未导致系统/业务发生重启/业务中断未产生不良影响后通过启用防火墙确保只有RAC集群节点机器可以访问6100/6200 端口操作漏洞扫描通过需要从根本上分析问题原因避免该类问题再次发生操作系统版本 RHEL 7数据库架构 RAC集群数据库版本 11.2.0.4业务名称 xxx3.问题分析3.1问题现象漏扫发现漏洞客户要求修复3.2漏洞分析可以发现6200是RAC的ons资源使用的端口RAC的ons资源使用的端口分析 1.无密钥泄露ons.config 是一个纯文本的引导文件。它指向了 walletfile但不包含 RSA 私钥。黑客拿到这个文件无法直接解密任何数据也无法冒充节点因为他们没有对应的私钥文件位于 walletfile 指定的目录中且受操作系统权限保护。 2.非代码执行点该文件不被直接解析执行代码只是被 ONS 进程读取作为参数。不存在像“Log4j”那样的注入漏洞。 结论 依靠网络防火墙。确保 TCP 6100 和 6200 端口只能由 nodes 列表中定义的 IP 地址访问拒绝其他所有 IP。只要网络层是隔离的allowunsecuresubscriberyes 的风险就极低。 处理 1.无需恐慌该文件内容是正常的 Oracle 19c RAC 配置不存在所谓的“RSA 漏洞”或硬编码密码。 2.忽略误报如果您是使用自动化扫描工具得到的“RSA 漏洞”报告这极大概率是误报。工具可能检测到 walletfile 关键字或 ONS 端口开放错误地关联了某些 CVE。您可以将此标记为“误报”或“已接受风险”。 3.加固建议 网络隔离确认防火墙规则禁止非集群节点 IP 访问 6100/6200 端口。3.3修改配置文件重启ons资源分析测试过了改配置文件没用重启会恢复外部6200访问权限也不能修改配置文件权限否则启动失败3.4问题分析总结综合上述分析我们可以看到主机漏洞是由于RAC的ons引起。ons使用6100、6200端口进行集群内部通信。4.处理/优化建议启用防火墙确保只有RAC集群节点机器可以访问6100/6200 端口确认RAC的内部IP确认RAC的对外端口确认使用的所有端口 [rootxxx02 app]# netstat -tan | grep ESTABLISHED | awk ‘{print $5}’ | cut -d’:’ -f2 | sort | uniq -c | sort -nr 7 1521 6 4 32434 3 1525 1 9516 1 9486 1 6200 1 59605 1 58088 1 55625 1 54950 1 54947 1 54944 1 54942 1 54939 1 54930 1 54924 1 54918 1 54909 1 54895 1 52454 1 51640 1 51521 1 51519 1 51501 1 51493 1 51284 1 51282 1 51280 1 51278 1 51276 1 51228 1 51071 1 50897 1 50866 1 39352 1 39350 1 37389 1 37387 1 37385 1 37383 1 36008 1 34629 1 34627 1 27123 1 26655 1 13192 1 12768 1 10226放通所有端口然后只处理6200端口同时放通两个/24网段的6200访问 firewall-cmd --set-default-zonetrusted firewall-cmd --permanent --zonetrusted --add-rich-rule‘rule family“ipv4” source address“xx.yy.9.0/24” port port“6200” protocol“tcp” accept’ firewall-cmd --permanent --zonetrusted --add-rich-rule‘rule family“ipv4” source address“192.168.200.0/24” port port“6200” protocol“tcp” accept’ firewall-cmd --permanent --zonetrusted --add-rich-rule‘rule family“ipv4” port port“6200” protocol“tcp” reject’ firewall-cmd --reload确认RAC集群正常