九游老哥云
「误差通告」WebLogic多个远程代码执行误差
2020-04-15
一、误差概述
京时间4月15日，Oracle官方宣布了2020年4月要害补丁更新通告CPU（Critical Patch Update），修复了397个差别水平的误差 。其中包括三个针对Weblogic的严重误差（CVE-2020-2801、CVE-2020-2883、CVE-2020-2884）和一个Oracle Coherence远程代码执行误差（CVE-2020-2915），使用了Oracle Coherence 库的产品受此误差影响 。本次四个误差均为T3协议保存缺陷、未经身份验证的攻击者可通过此类误差实现远程代码执行，CVSS评分均为9.8，使用重漂后低 。建议用户尽快接纳步伐，对上述误差举行防护 。
CVE-2020-2801复现乐成截图：
参考链接：
https://www.oracle.com/security-alerts/cpuapr2020.html
二、影响规模
WebLogic受影响版本：
- 10.3.6.0.0
- 12.1.3.0.0
- 12.2.1.3.0
- 12.2.1.4.0
Coherence受影响版本：
- 3.7.1.0
- 12.1.3.0.0
- 12.2.1.3.0
- 12.2.1.4.0
注：在WebLogic Server 11g Release（10.3.4）及以上版本的装置包中默认集成
了Oracle Coherence 库 。
三、误差检测
3.1 外地检测
可使用如下下令对Weblogic版本和补丁装置的情形举行排查 。
|
1
2
|
$ cd /Oracle/Middleware/wlserver_10.3/server/lib
$ java -cp weblogic.jar weblogic.version
|
在显示效果中，若是没有补丁装置的信息，则说明保存危害，如下图所示：
3.2 远程检测
3.2.1 Nmap服务探测
Nmap工具提供了Weblogic T3协议的扫描剧本，可探测开启T3服务的Weblogic主机 。下令如下：
|
1
|
nmap -n -v -Pn –sV [主机或网段地点] -p7001,7002 --script=weblogic-t3-info.nse
|
如下图红框所示，目的开启了T3协议且Weblogic版本在受影响规模之内，若是相关职员没有装置官方的清静补丁，则保存误差危害 。
3.2.2 互联网资产排查
九游老哥科技威胁情报中心（NTI）提供对互联网开放网络资产信息审查的功效，企业用户可通过在NTI上检索自有资产信息端口开放情形，审查企业资产是否受此误差影响 。
四、误差防护
4.1 补丁更新
Oracle现在已宣布补丁修复了上述误差，请用户参考官方通告实时下载受影响产品更新补丁，并参照补丁装置包中的readme文件举行装置更新，以包管恒久有用的防护 。
注：Oracle官方补丁需要用户持有正版软件的允许账号，使用该账号上岸https://support.oracle.com后，可以下载最新补丁 。
4.2 暂时缓解步伐
若是用户暂时无法装置更新补丁，可通过下列步伐对误差举行暂时防护：
用户可通过控制T3协议的会见来暂时阻断针对使用T3协议误差的攻击 。Weblogic Server 提供了名为 weblogic.security.net.ConnectionFilterImpl 的默认毗连筛选器，此毗连筛选器接受所有传入毗连，可通过此毗连筛选器设置规则，对T3及T3s协议举行会见控制，详细操作办法如下：
- 进入Weblogic控制台，在base_domain的设置页面中，进入“清静”选项卡页面，点击“筛选器”，进入毗连筛选器设置 。
- 在毗连筛选器中输入：weblogic.security.net.ConnectionFilterImpl，参考以下写法，在毗连筛选器规则中设置切合企业现真相形的规则：
|
1
2
3
4
|
127.0.0.1 * * allow t3 t3s
本机IP * * allow t3 t3s
允许会见的IP * * allow t3 t3s
* * * deny t3 t3s
|
毗连筛选器规则名堂如下：target localAddress localPort action protocols，其中：
- target 指定一个或多个要筛选的服务器 。
- localAddress 可界说服务器的主机地点 。(若是指定为一个星号 (*)，则返回的匹配效果将是所有外地 IP 地点 。)
- localPort 界说服务器正在监听的端口 。(若是指定了星号，则匹配返回的效果将是服务器上所有可用的端口) 。
- action 指定要执行的操作 。(值必需为“allow”或“deny” 。)
- protocols 是要举行匹配的协议名列表 。(必需指定下列其中一个协议：http、https、t3、t3s、giop、giops、dcom 或 ftp 。) 若是未界说协议，则所有协议都将与一个规则匹配 。
- 生涯后若规则未生效，建议重新启动Weblogic服务（重启Weblogic服务会导致营业中止，建议相关职员评估危害后，再举行操作） 。以Windows情形为例，重启服务的办法如下：
- 进入域所在目录下的bin目录，在Windows系统中运行stopWebLogic.cmd文件终止weblogic服务，Linux系统中则运行stopWebLogic.sh文件 。
- 待终止剧本执行完成后，再运行startWebLogic.cmd或startWebLogic.sh文件启动Weblogic，即可完成Weblogic服务重启 。
若参考上述操作设置了毗连筛选器后，导致Weblogic无法启动，可参考“附录A Weblogic服务恢复”章节，实时举行营业恢复 。
$(".info_chag img").each(function () { $(this).css({ "max-width": "100%","height": "auto","display":"inline-block" }).parent().css({"text-align":"center"}); });
您的联系方法
购置热线
提交项目需求
接待加入九游老哥科技，成为我们的相助同伴！
? 2025 NSFOCUS 九游老哥科技 www.nsfocus.com All Rights Reserved . 京公网安备 11010802021605号 京ICP备14004349号 京ICP证110355号