搜索

[6442] 2020-01-19_OracleWebLogic多个安全漏洞提示

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2020-01-19_OracleWebLogic多个安全漏洞提示 O r a c l e   W e b L o g i c 多 个 安 全 漏 洞 提 示 E 安 全   2 0 2 0 - 0 1 - 1 9 以 下 文 章 来 源 于 安 恒 信 息 应 急 响 应 中 心   ， 作 者 安 恒 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心   . 安 恒 应 急 响 应 中 心 为 客 户 提 供 最 精 准 预 警 通 告 ， 同 时 提 供 漏 洞 在 客 户 应 用 系 统 危 害 、 影 响 范 围 及 修 补 方 案 等 信 息 。 公 司 产 品 漏 洞 提 交 请 联 系 : 4 0 0   6 0 5 9   1 1 0 ,   或 邮 件 联 系 : s r c @ d b a p p s e c u r i t y . c o m . c n 。 1 . 漏 洞 公 告 漏 洞 公 告 2 0 2 0 年 1 月 1 4 日 ， O r a c l e 官 方 发 布 了 2 0 2 0 年 1 月 安 全 更 新 公 告 ， 包 含 了 其 家 族 多 个 产 品 的 安 全 漏 洞 公 告 。 其 中 有 两 个 O r a c l e   W e b L o g i c   S e r v e r 的 高 危 漏 洞 ， 对 应 C V E 编 号 ： C V E - 2 0 2 0 - 2 5 4 6 和 C V E - 2 0 2 0 - 2 5 5 1 ， 漏 洞 公 告 链 接 ： h t t p s : / / w w w . o r a c l e . c o m / s e c u r i t y - a l e r t s / c p u j a n 2 0 2 0 . h t m l 2 . 影 响 范 围 影 响 范 围 C V E - 2 0 2 0 - 2 5 4 6 漏 洞 影 响 版 本 ： W e b L o g i c   S e r v e r   1 0 . 3 . 6 . 0 . 0 W e b L o g i c   S e r v e r   1 2 . 1 . 3 . 0 . 0 C V E - 2 0 2 0 - 2 5 5 1 漏 洞 影 响 版 本 ： W e b l o g i c   S e r v e r   1 0 . 3 . 6 . 0 . 0 W e b l o g i c   S e r v e r   1 2 . 1 . 3 . 0 . 0 , W e b l o g i c   S e r v e r   1 2 . 2 . 1 . 3 . 0 W e b l o g i c   S e r v e r   1 2 . 2 . 1 . 4 . 0 补 丁 下 载 ： 用 户 可 以 登 录 O r a c l e 官 网 下 载 安 全 更 新 补 丁 ， 不 过 目 前 仅 有 1 2 . 2 . 1 . 4 . 0 版 本 提 供 ， 其 他 版 本 请 及 时 关 注 官 方 补 丁 发 布 通 知 。 3 . 漏 洞 描 述 漏 洞 描 述 C V E - 2 0 2 0 - 2 5 4 6 漏 洞 ： 主 要 涉 及 W e b L o g i c   S e r v e r 的 A p p l i c a t i o n   C o n t a i n e r   -   J a v a E E 组 件 ， 默 认 监 听 的 T 3 协 议 存 在 远 程 代 码 执 行 漏 洞 ， 成 功 利 用 该 漏 洞 可 以 获 取 W e b L o g i c   S e r v e r 的 服 务 运 行 权 限 ， 建 议 尽 快 更 新 安 全 补 丁 。 C V E - 2 0 2 0 - 2 5 5 1 漏 洞 ： 主 要 涉 及 W e b L o g i c   S e r v e r 的 W L S   C o r e   C o m p o n e n t s 组 件 ， 默 认 监 听 的 I I O P 协 议 存 在 反 序 列
安 全 运 营 建 议 ： O r a c l e   W e b L o g i c 历 史 上 已 经 报 过 多 个 安 全 漏 洞 （ 其 中 多 为 反 序 列 化 漏 洞 ） ， 建 议 使 用 该 产 品 的 企 业 经 常 关 注 官 方 安 全 更 新 公 告 。       注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 化 远 程 代 码 执 行 漏 洞 ， 以 J a v a 接 口 的 形 式 对 远 程 对 象 进 行 访 问 ， 该 漏 洞 可 以 绕 过 O r a c l e 官 方 在 2 0 1 9 年 1 0 月 份 发 布 的 最 新 安 全 补 丁 。 攻 击 者 可 以 通 过 I I O P 协 议 远 程 访 问 W e b l o g i c   S e r v e r 服 务 器 上 的 远 程 接 口 ， 传 入 恶 意 数 据 ， 成 功 利 用 该 漏 洞 可 以 获 取 W e b L o g i c   S e r v e r 的 服 务 运 行 权 限 ， 建 议 尽 快 更 新 安 全 补 丁 。 4 . 缓 解 措 施 缓 解 措 施 高 危 ： 目 前 漏 洞 细 节 和 利 用 代 码 暂 未 公 开 ， 但 恶 意 攻 击 者 可 能 对 安 全 更 新 补 丁 进 行 对 比 分 析 出 漏 洞 原 因 ， 并 进 一 步 开 发 出 漏 洞 利 用 代 码 或 工 具 ， 建 议 及 时 测 试 并 安 装 安 全 更 新 补 丁 ， 或 采 取 临 时 缓 解 措 施 加 固 系 统 。 临 时 缓 解 措 施 ： C V E - 2 0 2 0 - 2 5 4 6 漏 洞 ： 建 议 尽 快 安 装 安 全 更 新 补 丁 （ 可 以 使 用 B S U 智 能 更 新 ） 或 使 用 连 接 筛 选 器 临 时 阻 止 外 部 访 问 7 0 0 1 端 口 的 T 3 / T 3 s 协 议 ： 连 接 筛 选 器 ： w e b l o g i c . s e c u r i t y . n e t . C o n n e c t i o n F i l t e r I m p l 规 则 示 例 ： 0 . 0 . 0 . 0 / 0   *   7 0 0 1   d e n y   t 3   t 3 s       # 拒 绝 所 有 访 问 允 许 和 拒 绝 指 定 I P 规 则 示 例 ： 1 9 2 . 1 6 8 . 1 . 0 / 2 4   *   7 0 0 1   a l l o w   t 3   t 3 s   # 允 许 指 定 I P 段 访 问 1 9 2 . 1 6 8 . 2 . 0 / 2 4   *   7 0 0 1   d e n y   t 3   t 3 s     # 拒 绝 指 定 I P 段 访 问 连 接 筛 选 器 说 明 参 考 ： h t t p s : / / d o c s . o r a c l e . c o m / c d / E 2 4 3 2 9 _ 0 1 / w e b . 1 2 1 1 / e 2 4 4 8 5 / c o n _ f i l t r . h t m # S C P R G 3 7 7 C V E - 2 0 2 0 - 2 5 5 1 漏 洞 ： 可 以 通 过 临 时 关 闭 I I O P 协 议 对 该 漏 洞 进 行 缓 解 。 操 作 如 下 ： 在 W e b l o g i c 控 制 台 中 ， 选 择 “ 服 务 ” - > ” A d m i n S e r v e r ” - > ” 协 议 ” ， 取 消 “ 启 用 I I O P ” 的 勾 选 。 并 重 启 W e b l o g i c 项 目 ， 使 配 置 生 效 。
h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： W o r d P r e s s 插 件 漏 洞 使 3 2 0 , 0 0 0 个 网 站 受 到 攻 击     用 户 急 需 更 新 插 件 版 本 M y b a t i s 学 习 的 深 入 浅 出 F B I 要 求 苹 果 解 锁 枪 击 案 嫌 疑 人 手 机   特 朗 普 呼 吁 苹 果 应 配 合 调 查 西 澳 大 利 亚 州 P ＆ N 银 行 发 生 数 据 泄 露   用 户 信 息 被 暴 露 “ 红 海 地 区 ” 陷 入 大 面 积 断 网 危 机     也 门 海 底 网 络 基 建 脆 弱 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理