< 返回上层

关于WebLogic Server WLS核心组件存在反序列化漏洞的安全公告

2018-04-18 17:17:33 3459次

2018年4月18日,国家信息安全漏洞共享平台(CNVD)收录了WebLogic Server WLS核心组件反序列化漏洞(CNVD-2018-07811,对应CVE-2018-2628)。攻击者利用该漏洞,可在未授权的情况下远程执行代码。漏洞验证代码已被公开,近期被不法分子利用进行大规模攻击的可能性较大,厂商已发布补丁进行修复。


        一、漏洞情况分析


        WebLogic Server是美国甲骨文(Oracle)公司开发的一款适用于云环境和传统环境的应用服务中间件,它提供了一个现代轻型开发平台,支持应用从开发到生产的整个生命周期管理,并简化了应用的部署和管理。在WebLogic Server 的 RMI(远程方法调用)通信中,T3协议(丰富套接字)用来在 WebLogic Server 和其他 Java 程序(包括客户端及其他 WebLogic Server 实例)间传输数据,该协议在开放WebLogic控制台端口的应用上默认开启。


        2018年4月18日凌晨,Oracle官方发布了4月份关键补丁更新CPU(Critical Patch Update),其中包含该Weblogic反序列化高危漏洞。利用该漏洞,攻击者可以在未经授权的情况下,远程发送攻击数据,通过T3协议在WebLogic Server中执行反序列化操作,反序列过程中会远程加载RMI registry,加载回来的registry又会被反序列化执行,最终实现了远程代码的执行。


        CNVD对该漏洞的综合评级为“高?!?。 


        二、漏洞影响范围


        根据官方公告情况,该漏洞的影响版本如下:


        WebLogic 10.3.6.0


        WebLogic 12.1.3.0


        WebLogic 12.2.1.2


        WebLogic 12.2.1.3


        CNVD秘书处组织对WebLogic服务在全球范围内的分布情况进行了统计,结果显示该服务的全球规模约为6.9万,其中我国境内的用户量约为1.2万。随机抽样检测结果显示,大约为6%的WebLogic服务受此漏洞影响。


         三、漏洞处置建议


        1、临时修复建议:通过设置weblogic.security.net.ConnectionFilterImpl默认连接筛选器,对T3/T3s协议的访问权限进行配置,阻断漏洞利用途径。


        2、美国甲骨文公司已发布了修复补丁,建议及时更新至最新版本://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html。

        

        3、建议临时使用防火墙限制从不可信主机到被防护服务器7001端口的t3和t3s 协议。

        

        附:参考链接:

        //www.cnvd.org.cn/flaw/show/CNVD-2018-07811


        //www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html


        //toutiao.secjia.com/cve-2018-2628




  • 张抗抗谈推动全民阅读需要“新思路” 2018-12-09
  • 深圳地铁微信乘车码上线:马化腾现场亲自示范 2018-12-08
  • 努力把各级党组织锻造得更加坚强有力——四论认真学习贯彻省委十二届四次全会精神 2018-12-08
  • 27岁外教去世捐器官救5人:中国第七例涉外捐器官者 2018-12-07
  • 世界杯盛宴开启,中国元素引世界惊叹! 2018-12-06
  • 【访民情 惠民生 聚民心】多措并举拓宽村民脱贫路 2018-12-06
  • [大笑]阿Q都是这么说的。。。。。。 2018-12-05
  • 西藏蝴蝶种类达500种以上 发现新记录5种 2018-12-04
  • 紫光阁中共中央国家机关工作委员会 2018-12-04
  • 公众论坛官方网站首页·南方都市报·南方报业传媒集团 2018-12-03
  • 家长如何帮孩子选择朋友 2018-12-03
  • [网连中国]赛龙舟 包粽子 办诗会……全国各地品民俗迎端午 2018-12-02
  • 你看咱是跟帖还是在耍猴? 2018-12-01
  • 国家摄影影像时刊《眼睛》第498期:《川南小酒坊》眼睛胜天 2018-12-01
  • 中美贸易战是一场没有硝烟的角力。中国若不应战,美国会变本加厉,其在中国的头上拉屎。依我看,中美贸易战其实是美国对全世界设的一个局,以世界贸易战争引发世界大战,这 2018-11-30
  • 618| 102| 59| 636| 606| 77| 43| 132| 163| 201|