Oracle十月份高危漏洞安全公告

  • A+
所属分类:安全漏洞


漏洞概要


漏洞名称:Oracle十月份高危漏洞安全公告

威胁等级:高危

影响范围:

CVE-2019-17267:

Oracle WebLogic Server 12.2.1.3.0

CVE-2020-14882:

Oracle WebLogic Server 10.3.6.0.0

Oracle WebLogic Server 12.1.3.0.0

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

CVE-2020-14841:

Oracle WebLogic Server 10.3.6.0.0

Oracle WebLogic Server 12.1.3.0.0

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

CVE-2020-14825:

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

CVE-2020-14859:

Oracle WebLogic Server 10.3.6.0.0

Oracle WebLogic Server 12.1.3.0.0

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

CVE-2020-14820:

Oracle WebLogic Server 10.3.6.0.0

Oracle WebLogic Server 12.1.3.0.0

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

CVE-2020-14883:

Oracle WebLogic Server 10.3.6.0.0

Oracle WebLogic Server 12.1.3.0.0

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

CVE-2020-14757:

Oracle WebLogic Server 12.2.1.3.0

CVE-2020-11022:

Oracle WebLogic Server 10.3.6.0.0

Oracle WebLogic Server 12.1.3.0.0

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

CVE-2020-9488:

Oracle WebLogic Server 10.3.6.0.0


漏洞分析


2.1  WebLogic组件介绍

WebLogic是美国Oracle公司出品的一个application server,确切的说是一个基于JAVAEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。
将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。WebLogic是商业市场上主要的Java(J2EE)应用服务器软件(application server)之一,是世界上第一个成功商业化的J2EE应用服务器,具有可扩展性,快速开发,灵活,可靠性等优势。

2.2 漏洞描述

Oracle十月份发布的官方补丁通告中共发布了402个安全补丁,其中Weblogic组件的高危漏洞有5个,cvss评分为9.8,分别为CVE-2019-17267、CVE-2020-14882、CVE-2020-14841、CVE-2020-14825、CVE-2020-14859|。漏洞危害性较高,建议受影响的客户尽快更新官方发布的安全补丁。
  • CVE-2019-17267

该漏洞允许未经身份验证的攻击者通过fasterxml反序列化数据,攻击者成功利用此漏洞可以获得Oracle WebLogic Server权限。
  • CVE-2020-14882

该漏洞允许未经身份验证的攻击者通过IIOP,T3进行网络访问,未经身份验证的攻击者成功利用此漏洞可以获得Oracle WebLogic Server权限。
  • CVE-2020-14841

该漏洞允许未经身份验证的攻击者通过IIOP,T3进行网络访问,未经身份验证的攻击者成功利用此漏洞可以获得Oracle WebLogic Server权限。
  • CVE-2020-14825

该漏洞允许未经身份验证的攻击者通过IIOP,T3进行网络访问,未经身份验证的攻击者成功利用此漏洞可以获得Oracle WebLogic Server权限。
  • CVE-2020-14859

该漏洞允许未经身份验证的攻击者通过IIOP,T3进行网络访问,未经身份验证的攻击者成功利用此漏洞可以获得Oracle WebLogic Server权限。


影响范围


目前受影响的Weblogic版本:

  • CVE-2019-17267

Oracle WebLogic Server 12.2.1.3.0
  • CVE-2020-14882

Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0
  • CVE-2020-14841

Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0
  • CVE-2020-14825

Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0
  • CVE-2020-14859

Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0
  • CVE-2020-14820

Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0
  • CVE-2020-14883

Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0
  • CVE-2020-14757

Oracle WebLogic Server 12.2.1.3.0
  • CVE-2020-11022

Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 14.1.1.0.0
  • CVE-2020-9488

Oracle WebLogic Server 10.3.6.0.0


解决方案


4.1 修复建议

官方修复建议:

目前厂商已发布升级补丁修复漏洞,请受影响用户尽快进行升级加固。补丁获取链接:https://www.oracle.com/security-alerts/cpuoct2020.html

临时修复建议:

1. 可通过关闭IIOP协议对此漏洞进行临时防御。在WebLogic控制台中,选择“服务”->”AdminServer”->”协议”,取消“启用IIOP”的勾选。并重启WebLogic项目,使配置生效。

Oracle十月份高危漏洞安全公告

2. 对T3服务进行控制

Oracle十月份高危漏洞安全公告

在上图这个WebLogic界面中选择安全-筛选器,在下方出现的界面中找到“连接筛选器”,在里面输入security.net.ConnectionFilterImpl,然后在连接筛选器规则中输入127.0.0.1 * * allow t3 t3s,0.0.0.0/0 * * deny t3 t3s,最后保存并重启服务器即可生效。

4.2 深信服解决方案

【深信服下一代防火墙】可轻松防御此漏洞, 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则,可轻松抵御此高危风险。

【深信服云盾】已第一时间从云端自动更新防护规则,云盾用户无需操作,即可轻松、快速防御此高危风险。

【深信服安全感知平台】可检测利用该漏洞的攻击,实时告警,并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。

【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。在漏洞爆发之初,云端安全专家即对客户的网络环境进行漏洞扫描,保障第一时间检查客户的主机是否存在此漏洞。对存在漏洞的用户,检查并更新了客户防护设备的策略,确保客户防护设备可以防御此漏洞风险。


时间轴


2020/10/20

Oracle发布2020年10月关键补丁更新公告,其中包括Weblogic组件CVE-2019-17267、CVE-2020-14882、CVE-2020-14841、CVE-2020-14825、CVE-2020-14859五个远程代码执行漏洞

2020/10/21

深信服千里目安全实验室监测并发布Oracle十月份高危漏洞安全公告


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

Oracle十月份高危漏洞安全公告


本文始发于微信公众号(深信服千里目安全实验室):Oracle十月份高危漏洞安全公告

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: