WebLogic是美國Oracle公司出品的一個application server,它是一個基于JAVAEE架構(gòu)的中間件，WebLogic是用于開發(fā)、集成、部署和管理大型分布式Web應(yīng)用、網(wǎng)絡(luò)應(yīng)用和數(shù)據(jù)庫應(yīng)用的Java應(yīng)用服務(wù)器。將Java的動態(tài)功能和Java Enterprise標(biāo)準(zhǔn)的安全性引入大型網(wǎng)絡(luò)應(yīng)用的開發(fā)、集成、部署和管理之中。
4月20日,Oracle WebLogic被發(fā)現(xiàn)反序列化零日漏洞,且官方暫未發(fā)布補丁，風(fēng)險極高。以下是漏洞詳情：
漏洞詳情
WebLogic T3反序列化零日漏洞 嚴(yán)重程度：重要
該漏洞是由于應(yīng)用在處理反序列化輸入信息時存在漏洞，攻擊者可以通過發(fā)送精心構(gòu)造的惡意請求，云主機租用，獲得目標(biāo)服務(wù)器的權(quán)限，并在未授權(quán)的情況下執(zhí)行遠程命令，最終獲取服務(wù)器的權(quán)限。
受影響產(chǎn)品和版本
如果用戶在安裝部署Oracle WebLogic時啟用了T3協(xié)議或者使用了舊版JDK,那么可能會受到此漏洞影響
解決方案
目前官方暫未發(fā)布補丁，風(fēng)險極高。安全建議:
(1) 禁用T3協(xié)議
如果您不依賴T3協(xié)議進行JVM通信，可通過暫時阻斷T3協(xié)議緩解此漏洞帶來的影響。
1. 進入Weblogic控制臺，在base_domain配置頁面中，進入“安全”選項卡頁面，點擊“篩選器”，配置篩選器。
2. 在連接篩選器中輸入：weblogic.security.net.ConnectionFilterImpl，在連接篩選器規(guī)則框中輸入：* * 7001 deny t3 t3s。
(2) 將JDK升級到最新版
查看更多漏洞信息 以及升級請訪問官網(wǎng)：
https://www.oracle.com/cn/security-alerts/
關(guān)注中國IDC圈官方微信：idc-quan 我們將定期推送IDC產(chǎn)業(yè)最新資訊
查看心情排 行你看到此篇文章的感受是：
云安全 云安全日報210420：Ubuntu配套服務(wù)位置協(xié)議發(fā)現(xiàn)執(zhí)行任意代碼漏洞
4月19日，免備案服務(wù)器，Ubuntu發(fā)布了安全更新,修復(fù)了配套OpenSLP服務(wù)配置協(xié)議中發(fā)現(xiàn)的執(zhí)行任意代碼漏洞。 <詳情>
云安全 云安全日報210419：IBM安全統(tǒng)籌與自動化響應(yīng)平臺發(fā)現(xiàn)命令注入漏洞
日前,IBM發(fā)布了安全更新,修復(fù)了IBM Resilient SOAR中發(fā)現(xiàn)的命令注入漏洞。 <詳情>
云安全 美國云計算虛擬化公司思杰Citrix修補網(wǎng)絡(luò)產(chǎn)品中的11個漏洞
思杰周二通知客戶，已修復(fù)其ADC、網(wǎng)關(guān)和SD-WAN網(wǎng)絡(luò)產(chǎn)品中的11個漏洞，并強調(diào)漏洞與CVE-2019-19781無關(guān)且已被許多攻擊利用。 <詳情>
