WebLogic Server远程高危漏洞预警

栏目: Java · 发布时间: 7年前

内容简介：近期，360企业安全集团代码卫士团队安全研究人员发现Oracle公司旗下产品Oracle WebLogic Server的多个高危安全漏洞（CVE-2018-3245、CVE-2018-3248、CVE-2018-3249、CVE-2018-3252），并第一时间向Oracle公司报告，协助其修复漏洞。Oracle WebLogic Server 是目前全球 J2EE 使用最广泛的商业应用中间件之一。北京时间2018年10月17日，Oracle公司发布了关键补丁更新公告（Oracle Critical P

前言

近期，360企业安全集团代码卫士团队安全研究人员发现Oracle公司旗下产品Oracle WebLogic Server的多个高危安全漏洞（CVE-2018-3245、CVE-2018-3248、CVE-2018-3249、CVE-2018-3252），并第一时间向Oracle公司报告，协助其修复漏洞。

Oracle WebLogic Server 是目前全球 J2EE 使用最广泛的商业应用中间件之一。北京时间2018年10月17日，Oracle公司发布了关键补丁更新公告（Oracle Critical Patch Update Advisory – October 2018），公开致谢360企业安全集团代码卫士团队，并且发布相应的补丁修复漏洞。

WebLogic Server远程高危漏洞预警

Oracle公司官方公告

WebLogic Server远程高危漏洞预警

致谢360代码卫士

在Oracle公司本次修复的漏洞中，CVE-2018-3245 和 CVE-2018-3252均为高危反序列化漏洞，影响多个 WebLogic 大版本，CVSS评分为9.8分，一定条件下，可以造成远程代码执行。本文将对这两个漏洞进行简单描述。

漏洞概述

CVE-2018-3245 (JRMP Deserialization via T3)

该漏洞是一个绕过补丁的漏洞，在Oracle 7月份修复JRMP反序列化漏洞的补丁功能中可以被绕过，导致补丁无效。该漏洞高危，可远程执行任意代码。

CVE-2018-3252 (Deserialization via HTTP)

这个漏洞的触发并不是官方描述的T3协议，而是通过HTTP的方式即可触发（危害更大，HTTP一般防火墙均可通过）。由于补丁发布时间不久，互联网上还有大量未及时打补丁的 WebLogic Server。该漏洞的细节暂时不公开。

参考链接

Oracle Critical Patch Update Advisory – October 2018： https://www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html 。

*本文作者：360代码卫士，转载请注明来自FreeBuf.COM

以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。

码农书籍

编程原本

Alexander Stepanov、Paul McJones / 裘宗燕 / 机械工业出版社华章公司 / 2012-1-10 / 59.00元

本书提供了有关编程的一种与众不同的理解。其主旨是，实际的编程也应像其他科学和工程领域一样基于坚实的数学基础。本书展示了在实际编程语言（如C++）中实现的算法如何在最一般的数学背景中操作。例如，如何定义快速求幂算法，使之能使用任何可交换运算。使用抽象算法将能得到更高效、可靠、安全和经济的软件。这不是一本很容易读的书，它也不是能提升你的编程技能的秘诀和技巧汇编。本书的价值是更根本性的，其终极目......一起来看看《编程原本》这本书的介绍吧!

码农工具