【安全通报】Weblogic 多个远程代码执行漏洞

花屋敷  42天前

image-20201021102516523.png

WebLogic 是美国 Oracle 公司出品的 Java 应用服务器,WebLogic 是用于开发、集成、部署和管理大型分布式 Web 应用、网络应用和数据库应用。

2020 年 10 月 20 日,Oracle 发布了大量安全补丁,涉及旗下产品(Databa se Server、Weblogic Server、Java SE、MySQL等)的 430 个漏洞。

此次修复的漏洞中包括 5 个和 Weblogic 相关的高危漏洞(CVE-2019-17267、CVE-2020-14882、CVE-2020-14841、CVE-2020-14825、CVE-2020-14859),CVSS评分均为 9.8,利用难度低,攻击者可借此实现远程代码执行,其中 CVE-2020-14841、CVE-2020-14825、CVE-2020-14859 漏洞和 T3、IIOP 协议有关(T3、IIOP 协议用于在 WebLogic 和其他 Java 程序之间传输数据)。

image-20201021100432418.png

CVE 编号

CVE-2019-17267
CVE-2020-14882
CVE-2020-14841
CVE-2020-14825
CVE-2020-14859

影响范围

CVE-2019-17267
Weblogic Server 12.2.1.3.0

CVE-2020-14882
Weblogic Server 10.3.6.0.0
Weblogic Server 12.1.3.0.0
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

CVE-2020-14841
Weblogic Server 10.3.6.0.0
Weblogic Server 12.1.3.0.0
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

CVE-2020-14825
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

CVE-2020-14859
Weblogic Server 10.3.6.0.0
Weblogic Server 12.1.3.0.0
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

根据目前FOFA系统最新数据,显示全球范围内(app="BEA-WebLogic-Server" || app="Weblogic_interface_7001")共有 88,224 个相关服务对外开放。美国使用数量最多,共有 22,342 个;中国第二,共有 21,756 个;荷兰第三,共有 13,280 个;德国第四,共有 4,238个;伊朗第五,共有 3,316 个。

全球范围内分布情况如下(仅为分布情况,非漏洞影响情况)

image-20201019175932492.png

中国大陆地区北京使用数量最多,共有 4,896 个;上海第二,共有 1,778 个;广东第三,共有 1,174 个,江苏第四,共有 761 个;浙江第五,共有 624 个。

image-20201019180451402.png

漏洞环境——Vulfocus

目前 Vulfocus 已经集成 Weblogic 环境,可通过 docker pull vulfocus/weblogic-cve_2018_2628:latest;docker pull vulfocus/weblogic-cve_2017_10271:latest;docker pull vulfocus/weblogic-cve_2020_2551:latest进行拉取运行,可也通过 http://vulfocus.fofa.so/ 进行测试。

4.png

修复建议

Oracle官方补丁需要登录帐户后下载。

登录链接:https://login.oracle.com

参考

[1] https://www.oracle.com/security-alerts/cpuoct2020.html

白帽汇从事信息安全,专注于安全大数据、企业威胁情报。

公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。

最新评论

昵称
邮箱
提交评论