【缝隙公告】Oracle WebLogic Server 7月多个安全缝隙

颁布功夫 2022-07-20

0x00 缝隙概述

2022年7月19日， ，，，，Oracle颁布了7月补丁更新布告， ，，，，这次共颁布了349个新安全补丁， ，，，，涉及Oracle 和第三方组件中的缝隙。。。。。

 

0x01 缝隙详情

这次更新中共蕴含38个针对 Oracle 融合中央件的安全补丁， ，，，，其中 32个缝隙无需身份验证即可被远程利用。。。。。其中影响Oracle WebLogic Server的部门缝隙如下：

CVE

产品

涉及组件

和谈

是否远程利用

CVSS评分

影响领域

CVE-2022-23457

Oracle   WebLogic Server

集中式第三方JAR（OWASP Enterprise Security API）

HTTP

是

9.8

12.2.1.3.0、12.2.1.4.0、14.1.1.0.0

CVE-2022-22965

Oracle   WebLogic Server

第三方工具（Spring Framework）

HTTP

是

9.8

12.2.1.3.0、12.2.1.4.0、14.1.1.0.0

CVE-2022-24839

Oracle   WebLogic Server

集中式第三方JAR（NekoHTML）

HTTP

是

7.5

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-21548

Oracle   WebLogic Server

Core

T3, IIOP

是

6.5

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-29577

Oracle   WebLogic Server

集中式第三方JAR (AntiSamy)

HTTP

是

6.1

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-21557

Oracle   WebLogic Server

Web   Container

None

否

5.7

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-21560

Oracle   WebLogic Server

Core

T3, IIOP

是

5.3

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-21564

Oracle   WebLogic Server

Web Services

T3, IIOP

是

5.3

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

其中， ，，，，值得关注的缝隙蕴含：

CVE-2022-21548：Oracle WebLogic Server未授权操作缝隙

Oracle WebLogic Server（组件：Core）中存在安全缝隙， ，，，，能够在未经身份验证的情况下通过 T3、IIOP 和谈进行网络接见， ，，，，从而粉碎 Oracle WebLogic Server， ，，，，成功利用此缝隙可实现Oracle WebLogic Server可接见数据的未授权操作（如更新、插入或删除等）， ，，，，或导致部门回绝服务。。。。。

CVE-2022-21560：Oracle WebLogic Server回绝服务缝隙

Oracle WebLogic Server（组件：Core）中存在安全缝隙， ，，，，能够在未经身份验证的情况下通过 T3、IIOP 和谈进行网络接见， ，，，，从而粉碎 Oracle WebLogic Server， ，，，，成功利用此缝隙可导致部门回绝服务。。。。。

CVE-2022-21564：Oracle WebLogic Server回绝服务缝隙

Oracle WebLogic Server（组件：Web Services）中存在安全缝隙， ，，，，能够在未经身份验证的情况下通过 T3、IIOP 和谈进行网络接见， ，，，，从而粉碎 Oracle WebLogic Server， ，，，，成功利用此缝隙可导致部门回绝服务。。。。。

 

影响领域

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

 

0x02 措置建议

目前Oracle已经颁布了有关缝隙的补丁集中， ，，，，受影响用户可更新。。。。。

参考链接：

https://www.oracle.com/security-alerts/cpujul2022.html

缓解措施：

如非必要， ，，，，能够禁用T3和IIOP和谈。。。。。

禁用T3和谈：

具体操作：

1）进入WebLogic节造台， ，，，，在base_domain的配置页面中， ，，，，进入“安全”选项卡页面， ，，，，点击“筛选器”， ，，，，进入衔接筛选器配置。。。。。

2)在衔接筛选器中输入：weblogic.security.net.ConnectionFilterImpl， ，，，，在衔接筛选器规定中输入：127.0.0.1 * * allow t3t3s， ，，，，0.0.0.0/0 * *deny t3 t3s(t3和t3s和谈的所有端口只允许本地接见)。。。。。

3）保留后需沉新启动， ，，，，规定方可生效。。。。。

image.png

 

禁用IIOP和谈：

登录WebLogic节造台， ，，，，base_domain >服务器概要 >AdminServer

image.png

 

0x03 参考链接

https://www.oracle.com/security-alerts/cpujul2022.html

https://nvd.nist.gov/vuln/detail/CVE-2022-21548

 

0x04 更新版本

版本

日期

批改内容

V1.0

2022-07-20

初次颁布

 

0x05 附录

8827太阳集团简介

8827太阳集团成立于1996年， ，，，，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。。。。。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。。。。。

公司总部位于北京市中关村软件园8827太阳集团大厦， ，，，，公司员工近4000人， ，，，，研发团队1200余人, 技术服务团队1300余人。。。。。在全国各省、视注自治区设立分支机构六十多个， ，，，，占有覆盖全国的销售系统、渠路系统和技术支持系统。。。。。公司于2010年6月23日在丽江中幼板挂牌上市。。。。。（股票代码：002439）

多年来， ，，，，8827太阳集团致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务， ，，，，援手客户全面提升其IT基础设施的安全性和出产效力， ，，，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。。。。。

 

关于8827太阳集团

8827太阳集团安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。。。。。

关注以下公家号， ，，，，获取全球最新安全资讯：

image.png