Wissenswertes zur Log4j Schwachstelle in Bezug auf die Nutzung von Spatial and Graph

In MyOracleSupport (MOS) wurde ein neuer Artikel (Doc ID 2828303.1) veröffentlicht, welcher die mögliche Gefährdung von Spatial and Graph als Teil der Oracle Datenbank durch die Schwachstellen bei Log4j beschreibt und Handlungsanweisungen gibt.

Betroffen von CVE-2021-44228, CVE-2021-45046, CVE-2021-45104 und CVE-2021-45105 ist demnach Spatial in den Oracle Datenbank Versionen 12.2, 18.x und 21.x. Nicht betroffen sind die Versionen 11.2, 12.1 und 19.x.

Log4j (v2) wurde beginnend mit der Datenbank Version 12.2 für den Network Data Model (NDM) Server als Teil von Spatial and Graph verwendet und ist im Verzeichnis $ORACLE_HOME/md/jlib zu finden. Um den NDM Server aktiv zu nutzen, muß dieser auf einem Application Server deployed werden. Auch nach dem Deployment wird Log4j nicht für das Logging benutzt. Daher können die Log4j .jar Dateien gelöscht werden, ohne daß dies Auswirkungen auf die Funktionalität der Oracle Datenbank hat. Hierfür steht der Patch 33695048 zur Verfügung. Dieser ist anwendbar für die Oktober 2021 Database Release Updates von 12.2 und 21.4. Eine Version dieses Patches für die Version 18.14 wird in Kürze erwartet.

Vollständige Instruktionen gibt es im oben genannten MOS Artikel. Dieser Blog Post ist nur eine kurze Zusammenfassung dieses Artikels.

Weitere allgemeine Hinweise zur Log4j Schwachstelle finden sich auf den Seiten des BSI.

Beschreibungen der einzelnen Schwachstellen sind in der National Vulnerability Database (NVD) zu finden:

• CVE-2021-44228
• CVE-2021-45046
• CVE-2021-45105

Geokodierung ganz ohne zusätzliche Kosten

Im Oktober hatte ich in meinem Post das neue Werkzeug Spatial Studio vorgestellt. Darüber besteht seit der Lizenzänderung für Spatial and Graph auch die Möglichkeit, ohne zusätzliche Kosten Adressen in Koordinaten bzw. SDO_GEOMETRY Objekte umzurechnen.

Sollen deutsche Adressen in .csv Dateien geokodiert werden, empfehle ich, für den Import der Daten in eine Tabelle zunächst den SQL Developer (auch kostenfrei) zu verwenden. Das hat den schlichten Grund, daß die Importfunktion dort mehr Möglichkeiten bezüglich Anpassung des Datentyps für die Zielspalte hat. Der direkte Import mit Spatial Studio konvertiert deutsche Postleitzahlen automatisch in eine NUMBER Spalte, deren Werte die führende Null verloren haben.

Mit diesem kleinen Umweg über den SQL Developer haben Sie das richtige Ausgangsformat bzw. die gültigen Postleitzahlen und können dann die Geokodierung mit Spatial Studio direkt auf der erzeugten Import-Tabelle anstoßen.

Neu: Nutzung von Oracle Fusion Middleware MapViewer über Oracle Spatial and Graph Lizenz

Gute Nachrichten soll man teilen: Mit der Lizenz für Oracle Spatial and Graph ab Version 12.2 ist automatisch auch die Nutzungsberechtigung für Oracle Fusion Middleware MapViewer (V2) gegeben.
V2 steht hierbei für die HTML5-basierte JavaScript Bibliothek. Die alte, als V1 bekannte JavaScript Bibliothek ist damit nicht inkludiert.

Die Nutzung des MapViewers ar bis dato an eine Application Server Lizenz aus dem Oracle Portfolio (WebLogic oder iAS) bzw. TopLink/ADF geknüpft.
Wo der MapViewer deployed wird, ob on-premises auf einem der unterstützten J2EE-konformen Application Server oder auf dem Java Cloud Service von Oracle, ist dabei aus Lizensicht nicht von Belang.

Teil des MapViewers ist eine HTML5 basierte JavaScript API (Version 2), um interaktive Karten in Webanwendungen zu integrieren. Prominentes Beispiel für eine solche Integration ist der Sample Geolocation Showcase von Carsten Czarski, eine sogenannte Packaged Application für APEX. (Hier der Link auf ein - zugegebenermaßen nicht mehr ganz neues - Video.)
Im Bundle mit dem MapViewer kommt auch der MapBuilder daher, eine Java-Anwendung zur Beschreibung von Signaturen, Kartenlayers, Basemaps und mehr.
Über den MapViewer können zudem Geodienste wie WMS und WMTS bereitgestellt werden.

Was kann Spatial and Graph 12.2? Ein erster Überblick.

Oracle Spatial and Graph wird auch in der Version 12.2 wieder einige neue Features bereitstellen.
Wer noch keinen Oracle Datenbank Cloud Service abonniert hat, sich aber dennoch schon informieren möchte, kann dies im Abschnitt Changes in Oracle Database 12c Release 2 (12.2) in der Online Documentation. Die ist nämlich auch schon für 12.2 verfügbar.

Mehr Informationen zu den einzelnen Punkten werden wir in diesem Blog in den nächsten Wochen und Monaten aufgreifen. Zusätzlich können Sie uns gern uns Ihre Erfahrungen mit dem einen oder anderen (neuen) Feature zusenden, um sie hier im Blog auch anderen Interessierten zugänglich zu machen.

Hier sind einige ausgewählte Features:

• Unterstützung für GeoJSON (u.a. JSON_VALUE mit RETURNING SDO_GEOMETRY, SDO_UTIL.FROM_GEOJSON, SDO_UTIL.TO_GEOJSON)
• Unterstützung für weitere Geodienste bzw. aktuellere Dienste-Versionen (CSW 2.0.2, WCS 2.0.1)
• Neue, vereinheitlichte Administrations-Konsole für Geodienste
• Location Tracker Service
• Location Data Enrichment
• Erweiterungen an der Routing Engine
• Neue Spatial Indexes

Nächstes Webinar von Directions Magazine: Hochperformante Abfragen auf großen Vektordatenbeständen. Anwendung des Vector Performance Accelerator als Teil von Oracle Spatial and Graph 12c

Das nächste Webinar von Directions Magazine mit Oracle-Beteiligung trägt den Titel :

"Learn How Customers Are Experiencing 300x Performance Gains with Oracle Spatial and Graph"

Hauptthema ist die immense Beschleunigung, welche bei der Prozessierung und Abfrage von großen Datenmengen (Vektordaten) erzielt werden kann durch ein einfaches Umlegen eines "Schalters" in der Oracle Datenbank. Dieser Schalter ist der Datenbank-Parameter SPATIAL_VECTOR_ACCLERATION.

Wer also um diese Zeit gerade nichts anderes vor hat, kann sich am

• 6. Mai 2014 
• um 20 Uhr 

online dazuschalten.

Die Registrierung erfolgt über diesen Link: http://www.directionsmag.com/webinars/register/learn-how-customers-are-experiencing-300x-performance-gains-with-oracl/390239?DM_webinars_section&utm_medium=web&utm_campaign=390239

Ich empfehle,  sich zu registrieren, auch wenn die Live-Zuschaltung zeitlich nicht möglich ist. Die Webinare werden aufgezeichnet. Der Link zur Aufzeichnung wird hinterher an alle Registrierten verschickt.