【安全通报】Weblogic 七月份更新多个高危漏洞

xiannv 855天前

近日，Oracle官方发布了 2022 年 7 月份的安全更新。涉及旗下产品（Weblogic Server、Databa se Server、Java SE、MySQL等）的 349 个漏洞。此次修复的漏洞中包括 16 个和 Weblogic 相关的漏洞，其中的 13 个漏洞无需身份验证和用户交互即可通过网络进行远程利用。

漏洞描述

CVE-2022-23457 - OWASP ESAPI 路径遍历漏洞

由于在Oracle WebLogic Server中引用了第三方应用“OWASP Enterprise Security API”，ESAPI（OWASP Enterprise Security API）是一个免费的开源Web应用程序安全控制库。在版本 2.3.0.0 之前，“Validator.getValidDirectoryPath（String， String， File， boolean）”的默认实现可能会错误地将测试的输入字符串视为指定父目录的子级。如果攻击可以指定表示“输入”路径的整个字符串，则可能会使控制流旁路检查被击败。未经身份验证的攻击者通过HTTP协议向受影响的服务器发送恶意的请求，最终导致在目标服务器上执行任意代码。

CVSS3.1 评分：9.8 可利用性：极有可能被利用

CVE-2021-23450 - Dojo 安全漏洞

由于在Oracle WebLogic Server中引用了第三方应用“Dojo”，该漏洞源于软件容易通过setob ject函数受到Prototype污染的影响，未经身份验证的攻击者通过HTTP协议向受影响的服务器发送恶意的请求，最终导致在目标服务器上执行任意代码。

CVSS3.1 评分：9.8 可利用性：极有可能被利用

CVE-2022-22965 - Spring fr amework 代码注入漏洞

由于在Oracle WebLogic Server中引用了第三方框架“Spring fr amework”，在 JDK 9+ 上运行的 Spring MVC 或 Spring WebFlux 应用程序可能容易受到通过数据绑定进行远程执行代码（RCE）的攻击。特定的漏洞利用要求应用程序作为 WAR 部署在 Tomcat 上运行。如果应用程序部署为Spring Boot可执行jar，即默认的，则它不容易受到攻击。

CVSS3.1 评分：9.8 可利用性：极有可能被利用

FOFA 查询

app="BEA-WebLogic-Server" || app="Weblogic_interface_7001"

影响范围

CVE-2022-23457
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

CVE-2021-23450
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

CVE-2022-22965
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="BEA-WebLogic-Server" || app="Weblogic_interface_7001"）共有 110,049 个相关服务对外开放。美国使用数量最多，共有 30,262 个；中国第二，共有 19,463 个；日本第三，共有 5,121 个；印度第四，共有 4,239 个；德国第五，共有 4,213 个。