WebLogic |多个安全缝隙公告

颁布功夫 2020-04-16

0x00 缝隙概述


产品

CVE ID

类 型

缝隙等级

远程利用

影响领域

WebLogic

CVE-2020-2801

代码执行

严沉

是

Oracle WebLogic Server : 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0,

12.2.1.4.0

WebLogic

CVE-2020-2883

代码执行

严沉

是

WebLogic

CVE-2020-2884

代码执行

严沉

是

WebLogic

CVE-2020-2915

代码执行

严沉

是

Oracle Coherence : 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0


0x01 缝隙详情


8827太阳集团(Macau)股份有限公司-Official website


Oracle Fusion Middleware（Oracle融合中央件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台 。。。。。。。 。该平台提供了中央件、软件集中等职能 。。。。。。。 。

2020年4月15日，，，， ，Oracle官方颁布4月补丁更新布告，，，， ，披露了多个高危缝隙 。。。。。。。 。其中蕴含三个针对Weblogic的严沉缝隙（CVE-2020-2801、CVE-2020-2883、CVE-2020-2884）和一个Oracle Coherence远程代码执行缝隙（CVE-2020-2915），，，， ，CVSS评分均为9.8 。。。。。。。 。

上述四个缝隙都与T3和谈反序列化有关 。。。。。。。 。由于Weblogic 默认开启 T3和谈，，，， ，攻击者将天生的payload封装在T3和谈中，，，， ，在反序列化过程中对WebLogic组件进行远程代码攻击，，，， ，获取系统权限 。。。。。。。 。


0x02 措置建议


厂商已颁布升级补� 。。。。。。。 。�，，， ，下载链接：

https://www.oracle.com/security-alerts/cpuapr2020.html

一时措施：若是不依赖T3和谈进行JVM通讯，，，， ，可禁用T3和谈，，，， ，具体如下：

  •  进入Weblogic节造台，，，， ，在base_domain的配置页面中，，，， ，进入“安全”选项卡页面，，，， ，点击“筛选器”，，，， ，进入衔接筛选器配置；；；；；；；；

  • 在衔接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，，，， ，在衔接筛选器规定框中输入 7001 deny t3 t3s保留生效；；；；；；；；

  • 保留后若规定未生效，，，， ，建议沉新启动Weblogic服务 。。。。。。。 。

0x03 参考链接


https://www.oracle.com/security-alerts/cpuapr2020.html


0x04 功夫线


2020-04-15 Oracle官方颁布缝隙

2020-04-15 CVE颁布该缝隙



8827太阳集团(Macau)股份有限公司-Official website