【漏洞资讯】Oracle10 月份的安全更新 — Weblogic

 

漏洞介绍

Oracle官方 发布了 2021 年 10 月份的安全更新。涉及旗下产品(Weblogic Server、Database Server、Java SE、MySQL等)的 419 个漏洞。此次修复的漏洞中包括 9 个和 Weblogic 相关的漏洞,其中的 8 个漏洞无需身份验证即可通过网络进行远程利用。

Oracle WebLogic Server 是美国甲骨文(Oracle)公司的一款适用于云环境和传统环境的应用服务中间件,WebLogic 是用于开发、集成、部署和管理大型分布式 Web 应用、网络应用和数据库应用。

漏洞名称
Oracle10 月份的安全更新 --- Weblogic
威胁等级
high
漏洞威胁
Weblogic
影响范围
CVE-2021-35617
Weblogic Server 12.1.3.0.0
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0 ​
CVE-2021-35552
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0 ​
CVE-2021-29425
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0 ​
CVE-2021-35620
Weblogic Server 10.3.6.0.0
Weblogic Server 12.1.3.0.0
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0 ​
CVE-2020-11022
Weblogic Server 10.3.6.0.0
Weblogic Server 12.1.3.0.0
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0 ​
CVE-2020-7226
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0 ​
CVE-2019-12400
Weblogic Server 12.2.1.4.0
Weblogic Server 14.1.1.0.0 ​
CVE-2018-8088
Weblogic Server 12.1.3.0.0 ​
CVE-2018-10237
Weblogic Server 12.1.3.0.0
漏洞类型
MORE
利用难度
N/A
漏洞编号
CVE-2021-35617 CVE-2021-35552 CVE-2021-29425 CVE-2021-35620 CVE-2020-11022 CVE-2020-7226 CVE-2019-12400 CVE-2018-8088 CVE-2018-10237
是否有POC
N/A

 

信息详情

CVE-2021-35617

由于 Oracle WebLogic Server 的 Coherence Container 组件中的输入验证问题,远程未经身份验证的攻击者可以利用此漏洞执行任意代码。

该漏洞 CVSS3评分:9.8,危害等级:严重

CVE-2018-8088

该漏洞存在于 Web服务 slf4j-ext 模块的 org.slf4j.ext.EventData 类中。远程攻击者可通过精心设计的数据绕过预期的访问限制。

该漏洞 CVSS3评分:9.8,危害等级:严重

CVE-2021-35620

由于 Oracle WebLogic Server 核心组件的输入验证问题。远程未经身份验证的攻击者可利用该漏洞进行拒绝服务 (DoS) 攻击。

该漏洞 CVSS3评分:7.5,危害等级:高危

CVE-2020-7226

由于应用程序没有正确控制 Cryptacular 中 CiphertextHeader.java 内部资源的消耗。远程攻击者可以在解码操作期间触发过多的内存分配,从而执行拒绝服务 (DoS) 攻击。

该漏洞 CVSS3评分:7.5,危害等级:高危

CVE-2021-35552

由于 Oracle WebLogic Server 中诊断组件不正确的输入验证。远程未经身份验证的攻击者可以利用此漏洞来操纵数据。

该漏洞 CVSS3评分:5.3,危害等级:中危

CVE-2021-29425

由于 FileNameUtils.normalize 方法在处理目录遍历序列(例如"//../foo"或"\..foo")时存在输入验证错误。远程攻击者可以发送特制的请求验证父文件夹中文件的可用性。

该漏洞 CVSS3评分:5.3,危害等级:中危

CVE-2020-11022

由于对 "jQuery.htmlPrefilter" 正则表达式操作中对用户提供的数据处理不充分。远程攻击者可以将特制数据传递给使用 .html()、.append() 或类似方法的应用程序,并在易受攻击的网站上下文中执行任意 javascript 代码。攻击者可利用该漏洞窃取敏感信息、更改网页的外观、执行网络钓鱼等。

该漏洞 CVSS3评分:6.1,危害等级:中危

CVE-2019-12400

该漏洞存在于 Web 服务 Apache Santuario xml Security For Java 模块中,由于从不受信任的来源加载 xml 解析代码,远程攻击者可以利用该漏洞绕过安全限制。

该漏洞 CVSS3评分:5.5,危害等级:中危,权限需要:低

CVE-2018-10237

由于 AtomicDoubleArray 类(使用 Java 序列化时)和 CompoundOrdering 类(使用 GWT 序列化时)没有对客户端发送的内容进行适当检查以及数据大小是否合理。远程攻击者可利用该漏洞进行 拒绝服务 (DoS) 攻击或反序列化攻击者提供的数据。

该漏洞 CVSS3评分:5.9,危害等级:中危

修复方式

通用修补建议

Oracle官方更新的补丁:https://www.oracle.com/security-alerts/cpuoct2021.html

Weblogic 临时修补建议

1.     如果不依赖 T3协议进行 JVM通信,可禁用 T3协议。

2.     如果不依赖 IIOP协议进行 JVM通信,可禁用 IIOP协议。

参考链接

https://www.oracle.com/security-alerts/cpuoct2021.html

https://nosec.org/home/detail/4889.html

本文原创,作者:Galaxy,其版权均为Galaxy Lab所有。如需转载,请注明出处:http://galaxylab.pingan.com.cn/%e3%80%90%e6%bc%8f%e6%b4%9e%e8%b5%84%e8%ae%af%e3%80%91oracle10-%e6%9c%88%e4%bb%bd%e7%9a%84%e5%ae%89%e5%85%a8%e6%9b%b4%e6%96%b0-weblogic/

发表评论

*