Oracle WebLogic服務(wù)器多個(gè)高危安全漏洞預(yù)警
2019年04月17日，金山云安全應(yīng)急響應(yīng)中心監(jiān)控到Oracle 官方發(fā)布嚴(yán)重補(bǔ)丁更新，其中修復(fù)了WebLogic服務(wù)器存在的多個(gè)高危漏洞，影響到多個(gè)WebLogic組件，漏洞風(fēng)險(xiǎn)較大，金山云安全應(yīng)急響應(yīng)中心建議受影響的用戶及時(shí)安裝補(bǔ)丁，避免被黑客攻擊。
漏洞評級:
CVE-2019-2658：嚴(yán)重
CVE-2019-2646：嚴(yán)重
CVE-2019-2645：嚴(yán)重
CVE-2019-1258：高危
CVE-2019-2647：高危
CVE-2019-2648：高危
CVE-2019-2649：高危
CVE-2019-2650：高危
CVE-2019-2618：中危
CVE-2019-2568：中危
CVE-2019-2615：中危
漏洞描述:
WebLogic 是Oracle 公司出品的基于JavaEE 架構(gòu)的中間件，用于開發(fā)、集成、部署和管理大型分布式Web 應(yīng)用、網(wǎng)絡(luò)應(yīng)用和數(shù)據(jù)庫應(yīng)用。本次Oracle官方披露的WebLogic服務(wù)器存在的多個(gè)高危漏洞，包括遠(yuǎn)程代碼執(zhí)行、任意文件上傳、反序列化等，若被利用，可能導(dǎo)致WebLogic服務(wù)器權(quán)限被獲取。
影響版本:
1. Oracle WebLogic Server：
a) 10.3.6.0.0
b) 12.1.3.0.0
c) 12.2.1.3.0
2. 受影響組件：
a) WLS Core Components
b) WLS Core Components (Spring Framework)
c) EJB Container
d) WLS - Web Services
修復(fù)方案：
1. 升級補(bǔ)丁，Oracle官方更新鏈接地址：https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html
2. 如果不依賴T3協(xié)議進(jìn)行JVM通信，禁用T3協(xié)議：
a) 進(jìn)入WebLogic控制臺(tái)，在base_domain配置頁面中，進(jìn)入安全選項(xiàng)卡頁面，點(diǎn)擊篩選器，配置篩選器。
b) 在連接篩選器中輸入：weblogic.security.net.ConnectionFilterImpl，在連接篩選器規(guī)則框中輸入：* * 7001 deny t3 t3s
c) 保存生效（無需重啟）
參考鏈接：
https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html
北京金山云網(wǎng)絡(luò)技術(shù)有限公司
2019/04/17