【漏洞通告】Oracle WebLogic Server JNDI注入漏洞（CVE-2024-20931）

一、漏洞概述

漏洞名称	Oracle WebLogic Server JNDI注入漏洞
CVE   ID	CVE-2024-20931
漏洞类型	代码执行	发现时间	2024-01-17
漏洞评分	7.5	漏洞等级	高危
攻击向量	网络	所需权限	无
利用难度	低	用户交互	无
PoC/EXP	已公开	在野利用	未知

WebLogic是Oracle公司研发的用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器，在全球范围内被广泛使用。

近日，启明星辰VSRC监测到Oracle WebLogic Server JNDI注入漏洞（CVE-2024-20931）的漏洞细节及PoC在互联网上公开，该漏洞已在Oracle 1月发布的补丁中修复。

该漏洞为CVE-2023-21839的补丁绕过，未经身份验证的威胁者可通过 T3、IIOP 进行网络访问来破坏Oracle WebLogic Server，成功利用该漏洞可能导致Oracle WebLogic Server被接管或未授权访问。

二、影响范围

受影响的支持版本包括：

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

三、安全措施

3.1 升级版本

该漏洞已在Oracle 1月发布的补丁集合中修复，受影响用户可及时应用补丁。

参考链接：

https://www.oracle.com/security-alerts/cpujan2024.html

3.2 临时措施

如非必要，可以选择禁用T3 协议、IIOP协议。

禁用T3协议：

1）进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。

2)在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl

在连接筛选器规则中输入：

127.0.0.1 * * allow t3 t3s

0.0.0.0/0 * * deny t3 t3s （注：t3和t3s协议的所有端口只允许本地访问）。

3）保存后需重新启动，规则方可生效。

禁用IIOP协议：

在WebLogic控制台中，选择【环境】>>【服务器】>>点击【AdminServer（管理）】>>【协议】>>【IIOP】，取消勾选“启用IIOP”，保存并重启WebLogic项目。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://www.oracle.com/security-alerts/cpujan2024.html

https://glassyamadeus.github.io/2024/01/31/CVE_2024_20931/

https://nvd.nist.gov/vuln/detail/CVE-2024-20931

原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】Oracle WebLogic Server JNDI注入漏洞（CVE-2024-20931）