2023年10月Oracle补丁日多个高危漏洞安全风险通告

2023年10月19日，嘉诚安全监测到Oracle官方发布了10月份的安全更新公告，共发布了387个漏洞补丁，影响众多组件。此次更新中共包含46个针对Oracle融合中间件的新安全补丁，其中35个漏洞无需身份验证即可被远程利用。

鉴于漏洞危害较大，嘉诚安全提醒广大Oracle用户尽快下载补丁更新，避免引发漏洞相关的网络安全事件。

经研判，以下Oracle WebLogic Server的漏洞影响较大：

1.CVE-2023-22069/CVE-2023-22072/CVE-2023-22089

Oracle WebLogic Server远程代码执行漏洞，经研判，该漏洞为高危漏洞。未经身份验证的远程攻击者可通过T3、IIOP进行网络访问来破坏Oracle WebLogic Server，成功利用这些漏洞可能导致Oracle WebLogic Server被接管。

2.CVE-2023-22101

Oracle WebLogic Server远程代码执行漏洞，经研判，该漏洞为高危漏洞。未经身份验证的远程攻击者可通过T3、IIOP进行网络访问来破坏Oracle WebLogic Server，成功利用该漏洞可能导致Oracle WebLogic Server被接管，该漏洞的利用难度较高。

3.CVE-2023-22086/ CVE-2023-22108

Oracle WebLogic Server未授权访问漏洞，经研判，该漏洞为高危漏洞。未经身份验证的远程攻击者可通过T3、IIOP进行网络访问来破坏Oracle WebLogic Server，成功利用这些漏洞可能导致对关键数据的未授权访问或对所有Oracle WebLogic Server可访问数据的完全访问。

影响范围：

Oracle WebLogic Server版本：

14.1.1.0.0

12.2.1.4.0

12.2.1.3.0

1.官方修补建议：

Oracle官方已经发布补丁修复了漏洞，Oracle官方更新链接如下：

https://www.oracle.com/security-alerts/cpuoct2023.html

2.临时修补建议：

如非必要使用，建议禁用T3和IIOP协议，具体操作步骤如下：

禁用T3协议：

（1）进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。

（2）在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，在连接筛选器规则中输入：127.0.0.1 * * allow t3t3s，0.0.0.0/0 * *deny t3 t3s(t3和t3s协议的所有端口只允许本地访问)。

（3）保存后需重新启动，规则方可生效。

禁用IIOP协议：

在WebLogic控制台中，选择【环境】>>【服务器】>>点击【AdminServer（管理）】>>【协议】>>【IIOP】，取消勾选“启用IIOP”，保存并重启WebLogic项目。