报告编号:B6-2020-110301
报告来源:360CERT
报告作者:360CERT
更新日期:2020-11-03
0x01 漏洞简述
2020年11月03日,360CERT监测发现 Oracle官方
发布了 Weblogic 验证绕过漏洞
的风险通告,该漏洞编号为 CVE-2020-14750
,漏洞等级:严重
,漏洞评分:9.8
。
该漏洞由 360CERT 安全研究员提交,为 CVE-2020-14882
补丁的绕过,远程攻击者可以构造特殊的 HTTP
请求,在未经身份验证的情况下接管 WebLogic Server Console
,从而执行任意代码。
对此,360CERT建议广大用户及时将 Weblogic
升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
评定方式 | 等级 |
---|---|
威胁等级 | 严重 |
影响面 | 广泛 |
360CERT评分 | 9.8 |
0x03 漏洞详情
CVE-2020-14750: 验证绕过漏洞
该漏洞由 360CERT 安全研究员提交,为 CVE-2020-14882
补丁的绕过,远程攻击者可以构造特殊的 HTTP
请求,在未经身份验证的情况下接管 WebLogic Server Console
,从而执行任意代码。
漏洞成功利用如下:
0x04 影响版本
Oracle:Weblogic
:
- 10.3.6.0.0
- 12.1.3.0.0
- 12.2.1.3.0
- 12.2.1.4.0
- 14.1.1.0.0
0x05 修复建议
通用修补建议
及时更新补丁,参考oracle官网发布的补丁:
Oracle Security Alert Advisory - CVE-2020-14750
https://www.oracle.com/security-alerts/alert-cve-2020-14750.html
0x06 相关空间测绘数据
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现 Weblogic
在 全球
均有广泛使用,具体分布如下图所示。
0x07 产品侧解决方案
360城市级网络安全监测服务
360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn),通过资产测绘技术的方式,对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。
0x08 时间线
2020-11-02 Oracle官方发布通告
2020-11-03 360CERT发布通告
0x09 参考链接
1、 Oracle Security Alert Advisory - CVE-2020-14750
https://www.oracle.com/security-alerts/alert-cve-2020-14750.html
0x0a 特制报告下载链接
一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。
CVE-2020-14750: Weblogic Console 验证绕过漏洞通告
http://pub-shbt.s3.360.cn/cert-public-file/【360CERT】CVE-2020-14750__Weblogic_Console_权限绕过漏洞通告.pdf
若有订阅意向与定制需求请扫描下方二维码进行信息填写。
推荐阅读:
1、[0day在野利用] CVE-2020-17087: Microsoft cng.sys权限提升漏洞通告
3、CVE-2020-17510: Apache Shiro 权限绕过漏洞通告
长按下方二维码关注360CERT!谢谢你的关注!
注:360CERT官方网站提供 《CVE-2020-14750: Weblogic Console 验证绕过漏洞通告》 完整详情,点击阅读原文
本文始发于微信公众号(三六零CERT):CVE-2020-14750: Weblogic Console 验证绕过漏洞通告
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论