【安全狗高危安全通告】Oracle WebLogic Server 4月多个安全漏洞解决方案

近日,安全狗应急响应中心监测到Oracle官方发布了4月补丁更新公告,此次发布的补丁共包含520个安全补丁,涉及Oracle和第三方组件中的漏洞。

【安全狗高危安全通告】Oracle WebLogic Server 4月多个安全漏洞解决方案_第1张图片

漏洞描述

Weblogic本次更新了多个漏洞,这些漏洞允许未经身份验证的攻击者通过HTTP或T3协议发送构造好的恶意请求,从而在Oracle WebLogic Server执行代码或窃取关键数据。

严重漏洞编号如下:

-CVE-2022-23305:未经身份验证的攻击者通过HTTP协议发送恶意请求,最终接管服务器,评分9.8

-CVE-2022-21420:未经身份验证的攻击者通过T3协议发送恶意请求,最终接管服务器,评分9.8

-CVE-2022-21441:未经身份验证的攻击者通过T3/IIOP协议发送恶意请求,最终接管服务器,评分7.5

-CVE-2022-23437:未经身份验证的攻击者通过HTTP协议发送恶意请求,最终接管服务器,评分6.5

-CVE-2022-21453:未经身份验证的攻击者通过HTTP协议发送恶意请求,最终接管服务器,评分6.1

-CVE-2021-41184:未经身份验证的攻击者通过HTTP协议发送恶意请求,最终接管服务器,评分6.1

-CVE-2021-28170:未经身份验证的攻击者通过HTTP协议发送恶意请求,最终接管服务器,评分5.3

-CVE-2020-8908:未经身份验证的攻击者通过None协议发送恶意请求,最终接管服务器,评分5.3

其中,值得关注的漏洞包括Oracle WebLogic Server远程代码执行漏洞(CVE-2022-23305)和Oracle WebLogic Server拒绝服务漏洞(CVE-2022-21441)等。

CVE-2022-23305:Oracle WebLogic Server中引用了第三方JARs(Apache Log4j),当特别配置为使用JDBCAppender时,Log4j 1.2.x存在SQL注入漏洞。成功利用此漏洞可以在未经身份验证的情况下通过HTTP访问服务器,最终导致Oracle WebLogic Server被接管。

注:Apache Log4j 1.2已于2015年8月停止维护。

CVE-2022-21441:Oracle WebLogic Server Core存在安全漏洞,允许在未经身份验证的情况下通过T3/IIOP进行网络访问,从而攻击Oracle WebLogic Server,成功利用此漏洞可能会导致Oracle WebLogic Server挂起或频繁重复崩溃(完全DOS)。

安全通告信息

漏洞名称

Oracle WebLogic Server 4月多个安全漏洞

漏洞影响版本

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

漏洞危害等级

高危

厂商是否已发布漏洞补丁

版本更新地址

https://www.oracle.com/security-alerts/cpuapr2022.html

安全狗总预警期数

220

安全狗发布预警日期

2022年4月20日

安全狗更新预警日期

2022年4月20日

发布者

安全狗海青实验室

官方安全建议

安装最新版本

及时更新补丁,参考oracle官网发布的补丁:

https://www.oracle.com/security-alerts/cpuapr2022.html

临时缓解措施

如果不依赖T3协议进行JVM通信,禁用T3协议:

1) 进入WebLogic控制台,在base_domain配置页面中,进入安全选项卡页面,点击筛选器,配置筛选器。

2) 在连接筛选器中输入:weblogic.security.net.ConnectionFilterImpl,在连接筛选器规则框中输入7001 deny t3 t3s保存生效。

3) 重启Weblogic项目,使配置生效。

参考连接

https://www.oracle.com/security-alerts/cpuapr2022.html

https://nvd.nist.gov/vuln/detail/CVE-2022-23305

https://nvd.nist.gov/vuln/detail/CVE-2022-21441

你可能感兴趣的:(安全狗,网络安全,漏洞安全)