【风险提示】天融信关于Oracle 2023年10月安全更新的风险提示

admin
admin
admin
104366
文章
87
评论
2023年10月20日01:54:49评论32 views字数 6446阅读21分29秒阅读模式

【风险提示】天融信关于Oracle 2023年10月安全更新的风险提示

0x00 背景介绍

2023年10月18日，天融信阿尔法实验室监测到Oracle官方发布了第4季度（10月）安全更新。本次更新共修复Oracle代码和第三方组件中的多个漏洞，关键漏洞11个，涉及Oracle WebLogic Server、Oracle Financial Services Applications、Oracle Communications、Oracle Fusion Middleware、Oracle MySQL等多个产品。建议受影响客户尽快应用关键补丁，对漏洞进行修复。
0x01 重点漏洞描述
本次Oracle季度更新中重点漏洞的信息如下所示。

  • Oracle代码漏洞

1、CVE-2023-22069：Oracle WebLogic Server远程代码执行漏洞
漏洞名称
 Oracle WebLogic Server远程代码执行漏洞
漏洞编号
 CVE-2023-22069 漏洞细节
 无
 PoC或Exp
 无
协议
 T3，IIOP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

Oracle WebLogic Server产品的Core组件

     修复版本：12.2.1.4.0, 14.1.1.0.0。  未授权利用：是。
2、CVE-2023-22072：Oracle WebLogic Server远程代码执行漏洞
漏洞名称
 Oracle WebLogic Server远程代码执行漏洞
漏洞编号
 CVE-2023-22072 漏洞细节
 无
 PoC或Exp
 无
协议
 T3，IIOP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

Oracle WebLogic Server产品的Core组件

     修复版本：12.2.1.3.0。  未授权利用：是。
3、CVE-2023-22089：Oracle WebLogic Server远程代码执行漏洞
漏洞名称
 Oracle WebLogic Server远程代码执行漏洞
漏洞编号
 CVE-2023-22089 漏洞细节
 无
 PoC或Exp
 无
协议
 T3，IIOP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

Oracle WebLogic Server产品的Core组件

     修复版本：12.2.1.4.0, 14.1.1.0.0。  未授权利用：是。
  • Oracle产品第三方组件漏洞
1、CVE-2022-1471：SnakeYaml反序列化远程代码执行漏洞
漏洞名称
 SnakeYaml反序列化远程代码执行漏洞
漏洞编号
 CVE-2022-1471 漏洞细节
 已公开
 PoC或Exp
 已公开
协议
 HTTP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

1、Oracle Financial Services Model Management and Governance产品的Installer(SnakeYAML)组件 

     修复版本：8.1.2.3, 8.1.2.4。  未授权利用：是。

2、Oracle Banking Deposits and Lines of Credit Servicing产品的UI(SnakeYAML)组件

     修复版本：2.7, 2.12。  未授权利用：否。

3、Oracle Banking Loans Servicing产品的UI(SnakeYAML)组件

     修复版本：2.12。  未授权利用：否。

4、Oracle Banking Party Management产品的UI(SnakeYAML)组件

     修复版本：2.7。  未授权利用：否。

5、Oracle FLEXCUBE Core Banking产品的Securities(SnakeYAML)组件

     修复版本：11.10, 11.11。  未授权利用：否。

6、Oracle Retail Xstore Point of Service产品的Xenvironment(SnakeYAML)组件

     修复版本：22.0.0。  未授权利用：是。

2、CVE-2022-26612：Apache Hadoop任意文件写入漏洞

漏洞名称
 Apache Hadoop任意文件写入漏洞
漏洞编号
 CVE-2022-26612 漏洞细节
 已公开
 PoC或Exp
 无
协议
 HTTP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

Oracle Business Intelligence Enterprise Edition产品的Analytics Server(Apache Hadoop)组件

     修复版本：6.4.0.0.0。  未授权利用：是。

3、CVE-2022-33980：Apache Commons Configuration命令执行漏洞

漏洞名称
 Apache Commons Configuration命令执行漏洞
漏洞编号
 CVE-2022-33980 漏洞细节
 已公开
 PoC或Exp
 已公开
协议
 HTTP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

1、Oracle Business Intelligence Enterprise Edition产品的Content Storage Service(Apache Commons Configuration)组件

     修复版本：6.4.0.0.0, 7.0.0.0.0。  未授权利用：是。

2、Oracle Banking Deposits and Lines of Credit Servicing产品的UI(Apache Commons Configuration)组件

     修复版本：2.7。  未授权利用：否。

4、CVE-2022-36944：Scala Java反序列化漏洞

漏洞名称
 Scala Java反序列化漏洞
漏洞编号
 CVE-2022-36944 漏洞细节
 已公开
 PoC或Exp
 已公开
协议
 HTTP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

Oracle Communications Policy Management产品的CMP(Scala)组件

     修复版本：12.6.0.0。  未授权利用：是。

5、CVE-2022-42920：Apache Commons BCEL越界写漏洞

漏洞名称
 Apache Commons BCEL越界写漏洞
漏洞编号
 CVE-2022-42920 漏洞细节
 已公开
 PoC或Exp
 已公开
协议
 HTTP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

1、Oracle Communications MetaSolv Solution产品的Print Preview(Apache Commons BCEL)组件

     修复版本：6.3.1.0.0。  未授权利用：是。

2、Oracle Communications Order and Service Management产品的General(Apache Commons BCEL)组件

     修复版本：7.4.0, 7.4.1。  未授权利用：是。

3、Oracle Communications Policy Management产品的CMP(Apache Commons BCEL)组件

     修复版本：12.6.0.0。  未授权利用：是。

4、Oracle Enterprise Data Quality产品的General(Apache Commons BCEL)组件

     修复版本：12.2.1.4.0。  未授权利用：是。

5、Oracle WebCenter Portal产品的Discussion Forums(Apache Commons BCEL)组件

     修复版本：12.2.1.4.0。  未授权利用：是。

6、Oracle WebLogic Server产品的Core(Apache Commons BCEL)组件

     修复版本：12.2.1.4.0, 14.1.1.0.0。  未授权利用：是。

7、Oracle Documaker产品的Development Tools(Apache Commons BCEL)组件

     修复版本：12.6.4-12.7.1。  未授权利用：是。

8、PeopleSoft Enterprise HCM Global Payroll Switzerland产品的XML CHE(Apache Commons BCEL)组件

     修复版本：9.2。  未授权利用：是。

9、Oracle Retail Bulk Data Integration产品的BDI Job Scheduler(Apache Commons BCEL)组件

     修复版本：16.0.3, 19.0.1。  未授权利用：是。

10、Oracle Retail Financial Integration产品的PeopleSoft Integration Bugs (Apache Commons BCEL)组件

     修复版本：14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1。未授权利用：是。

11、Oracle Retail Integration Bus产品的RIB(Apache Commons BCEL)组件

     修复版本：14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1。未授权利用：是。

12、Oracle Retail Merchandising System产品的Foundation(Apache Commons BCEL)组件

     修复版本：19.0.1。  未授权利用：是。

13、Oracle Retail Service Backbone产品的Installation(Apache Commons BCEL)组件

     修复版本：14.1.3.2, 15.0.3.1, 16.0.3, 19.0.1。未授权利用：是。

14、Oracle Utilities Application Framework产品的General(Apache Commons BCEL)组件

     修复版本：4.2.0.3.0, 4.3.0.1.0-4.3.0.6.0, 4.4.0.0.0, 4.4.0.2.0。  未授权利用：是。

6、CVE-2023-25690：Apache HTTP Server HTTP请求走私漏洞

漏洞名称
 Apache HTTP Server HTTP请求走私漏洞
漏洞编号
 CVE-2023-25690 漏洞细节
 已公开
 PoC或Exp
 已公开
协议
 HTTP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本
Oracle Hyperion Infrastructure Technology产品的Installation and Configuration(Apache HTTP Server)组件

     修复版本：11.2.14.0.000。  未授权利用：是。

7、CVE-2023-34034：Spring Security安全绕过漏洞

漏洞名称
 Spring Security安全绕过漏洞
漏洞编号
 CVE-2023-34034 漏洞细节
 已公开
 PoC或Exp
 已公开
协议
 HTTP
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

1、Oracle Communications Cloud Native Core Binding Support Function产品的Install/Upgrade(Spring Security)组件

     修复版本：23.1.0-23.1.7, 23.2.0-23.2.2。  未授权利用：是。

2、Oracle Communications Cloud Native Core Network Exposure Function产品的Platform(Spring Security)组件

     修复版本：23.1.3。  未授权利用：是。

3、Oracle Communications Cloud Native Core Network Repository Function产品的Install/Upgrade(Spring Security)组件

     修复版本：23.1.3, 23.2.1, 23.3.0。  未授权利用：是。

4、Oracle Communications Cloud Native Core Policy产品的Install/Upgrade(Spring Security)组件

     修复版本：23.1.0-23.1.8, 23.2.0-23.2.4。  未授权利用：是。

5、Oracle Communications Cloud Native Core Security Edge Protection Proxy产品的Configuration(Spring Security)组件

     修复版本：23.1.3, 23.3.0。  未授权利用：是。

6、MySQL Enterprise Monitor产品的Monitoring: General(Spring Security)组件

     修复版本：>= 8.0.35。  未授权利用：是。

8、CVE-2023-38408：OpenSSH ssh-agent远程代码执行漏洞

漏洞名称
 OpenSSH ssh-agent远程代码执行漏洞
漏洞编号
 CVE-2023-38408 漏洞细节
 已公开
 PoC或Exp
 已公开
协议
 HTTPS
 CVSS3.1
 9.8
 远程利用
 是
修复该漏洞的产品及版本

1、Oracle Communications Cloud Native Core Binding Support Function产品的Install/Upgrade(OpenSSH)组件

     修复版本：23.1.0-23.1.7, 23.2.0-23.2.2。  未授权利用：是。

2、Oracle Communications Diameter Signaling Router产品的Platform(OpenSSH)组件

     修复版本：8.6.0.0。  未授权利用：是。

3、Oracle Communications Policy Management产品的CMP(OpenSSH)组件

     修复版本：12.6.0.0。  未授权利用：是。

4、Oracle Enterprise Operations Monitor产品的Infrastructure(OpenSSH)组件
     修复版本：5.0, 5.1。  未授权利用：是。
0x02 修复建议

  • 升级版本
目前Oracle已经发布了相关漏洞的补丁集合，受影响用户可及时更新。
https://www.oracle.com/security-alerts/cpuoct2023.html

  • Weblogic临时防护措施

  • 限制T3协议访问

若相关用户暂时无法安装补丁或不通过T3协议进行JVM通信，可使用下列措施阻断针对利用T3协议漏洞的攻击：
1）进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。
2）在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，在连接筛选器规则中输入：127.0.0.1 * * allow t3t3s，0.0.0.0/0 * * deny t3 t3s(t3和t3s协议的所有端口只允许本地访问)。
3）保存后需重新启动，规则方可生效。

  • 禁用IIOP协议

用户可通过关闭IIOP协议阻断针对利用IIOP协议漏洞的攻击，操作如下：

在WebLogic控制台中，选择“服务”->“AdminServer”->“协议”，取消“启用IIOP”的勾选。并重启WebLogic项目，使配置生效。

0x03 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



【风险提示】天融信关于Oracle 2023年10月安全更新的风险提示

【风险提示】天融信关于Oracle 2023年10月安全更新的风险提示

天融信

阿尔法实验室

长按二维码关注我们


原文始发于微信公众号（天融信阿尔法实验室）：【风险提示】天融信关于Oracle 2023年10月安全更新的风险提示

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年10月20日01:54:49
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【风险提示】天融信关于Oracle 2023年10月安全更新的风险提示https://cn-sec.com/archives/2127865.html

发表评论

匿名网友 填写信息