安全播报

防御吧作为15年知名老牌域名服务商,CNNIC和CANN双认证域名注册商,已经
持续为500多万个域名提供服务,包括智能DNS/自由转移/隐私保护等服务!
CNNVD 关于Oracle WebLogic Server反序列化漏洞的通报CNNVD-201910-1034
2019-10-21 08:51:16 【

      近日,国家信息安全漏洞库(CNNVD)收到Oracle WebLogic Server反序列化漏洞(CNNVD-201910-1034、CVE-2019-2890)(CNNVD-201910-1035、CVE-2019-2887)情况的报送。攻击者可利用该漏洞在未授权的情况下发送攻击数据,最终实现远程代码执行。WebLogic Server 10.3.6.0、12.1.3.0、12.2.1.3等版本均受漏洞影响。目前, Oracle官方已经发布补丁修复了漏洞,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。

一、漏洞介绍

      Oracle WebLogic Server是美国甲骨文(Oracle)公司开发的一款适用于云环境和传统环境的应用服务中间件,它提供了一个现代轻型开发平台,支持应用从开发到生产的整个生命周期管理,并简化了应用的部署和管理。

      Weblogic中的序列化是指把 Java 对象转换为字节序列的过程便于保存在内存、文件、数据库中,反序列化是指把字节序列恢复为 Java 对象的过程。

      Weblogic在利用T3协议进行远程资源加载调用时,默认会进行黑名单过滤以保证反序列化安全。攻击者可利用漏洞绕过Weblogic反序列化黑名单,在未授权的情况下发送攻击数据,通过T3协议在WebLogic Server中执行反序列化操作,最终实现远程代码执行,进而控制WebLogic服务器。

二、危害影响

      攻击者可利用漏洞在未授权的情况下发送攻击数据,通过T3协议在WebLogic Server中执行反序列化操作,最终实现远程代码执行。该漏洞涉及了多个版本,具体受影响版本如下:


Oracle WebLogic Server 10.3.6.0

Oracle WebLogic Server 12.1.3.0

Oracle WebLogic Server 12.2.1.3

三、修复建议

      目前, Oracle官方已经发布补丁修复了漏洞,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。Oracle官方更新链接如下:

      https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html

      本通报由CNNVD技术支撑单位——启明星辰积极防御实验室、北京长亭科技有限公司提供支持。

      CNNVD将继续跟踪上述漏洞的相关情况,及时发布相关信息。如有需要,可与CNNVD联系。

      联系方式: cnnvd@itsec.gov.cn


】【打印关闭】 【返回顶部
分享到QQ空间
分享到: 
上一篇新的Windows 10安全核心PC阻止固.. 下一篇CNNVD关于泛微E-cology OA系统SQL..

立足首都,辐射全球,防御吧专注云防御及云计算服务15年!

联系我们

服务热线:13051179500 18910191973
企业QQ:1245940436
技术支持:010-56159998
E-Mail:xihedata.com
Copyright ? 2003-2016 fangyuba. 防御吧(完美解决防御与加速) 版权所有 增值许可:京B2-20140042号
售前咨询
公司总机:18910191973
24小时电话:010-56159998
投诉电话:18910191973
值班售后/技术支持
售后服务/财务
备案专员
紧急电话:18610088800