Oracle多个产品安全缝隙公告
颁布功夫 2020-07-150x00 缝隙概述
|
产品 |
CVE ID |
类 型 |
缝隙等级 |
远程利用 |
影响领域 |
|
WebLogic |
CVE-2020-14625 |
|
严沉 |
是 |
WebLogic 12.2.1.3.0 WebLogic 12.2.1.4.0 WebLogic 14.1.1.0.0 |
|
CVE-2020-14644 |
|
严沉 |
是 |
||
|
CVE-2020-14687 |
|
严沉 |
是 |
||
|
CVE-2020-14645 |
|
严沉 |
是 |
WebLogic 10.3.6.0.0 WebLogic 12.1.3.0.0 WebLogic 12.2.1.3.0 WebLogic 12.2.1.4.0 WebLogic 14.1.1.0.0 |
|
|
Oracle SD-WAN Aware |
CVE-2020-14701 |
|
严沉 |
是 |
Oracle SD-WAN Aware 8.2 |
|
Oracle SD-WAN Edge |
CVE-2020-14606 |
|
严沉 |
是 |
Oracle SD-WAN Edge 8.2,9.0 |
0x01 缝隙详情
2020年7月14日，，， ，，，Oracle官方颁布安全布告，，， ，，，建复了433个安全缝隙，，， ，，，涉及了Oracle Weblogic、Oracle Coherence等多款产品。。。。。。其中蕴含四个评分为9.8的Oracle WebLogic Server反序列化缝隙（CVE-2020-14625、CVE-2020-14644、CVE-2020-14645 、CVE-2020-14687），，， ，，，两个评分为10的Oracle Communications Applications安全缝隙（CVE-2020-14701、CVE-2020-14606）。。。。。。
Oracle WebLogic Server反序列化缝隙
这四个缝隙导致未经身份验证的攻击者通过IIOP、T3和谈发送恶意要求，，， ，，，从而在Oracle WebLogic Server执行恶意代码。。。。。。
Oracle Communications Applications安全缝隙
这两个缝隙无需身份验证即可远程利用。。。。。。
0x02 措置建议
目前厂商已颁布补丁，，， ，，，下载链接：
https://www.oracle.com/security-alerts/cpujul2020.html
Weblogic一时建补建议：
1. 若是不依赖T3和谈进行JVM通讯，，， ，，，禁用T3和谈。。。。。。
? 进入WebLogic节造台，，， ，，，在base_domain配置页面中，，， ，，，进入安全选项卡页面，，， ，，，点击筛选器，，， ，，，配置筛选器；；；；；；；；
? 在衔接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，，， ，，，在衔接筛选器规定框中输入 7001 deny t3 t3s保留生效；；；；；；；；
? 沉启Weblogic项目，，， ，，，使配置生效。。。。。。
2. 若是不依赖IIOP和谈进行JVM通讯，，， ，，，禁用IIOP和谈。。。。。。
? 进入WebLogic节造台，，， ，，，在base_domain配置页面中，，， ，，，进入安全选项卡页面；；；；；；；；
? 选择“服务”->”AdminServer”->”和谈”，，， ，，，取缔“启用IIOP”的勾�。。。。。�；；；；；；；；
? 沉启Weblogic项目，，， ，，，使配置生效。。。。。。
0x03 有关新闻
0x04 参考链接
https://www.oracle.com/security-alerts/cpujul2020.html
0x05 功夫线
2020-07-14 Oracle官方颁布安全布告
2020-07-15 VSRC颁布缝隙公告
京公网安备11010802024551号