【误差通告】Oracle WebLogic Server 4月多个清静误差

宣布时间 2022-04-20

0x00 误差概述

2022年4月19日， ，，，，Oracle宣布了4月补丁更新通告， ，，，，此次宣布的补丁共包括520个清静补�。。。� ，，，，涉及Oracle 和第三方组件中的误差。。。

 

0x01 误差详情

此次更新中共包括54个针对 Oracle 融合中心件的清静补�。。。� ，，，，其中 41个误差无需身份验证即可被远程使用。。。其中影响Oracle WebLogic Server的误差如下：

CVE

产品

涉及组件

协议

是否远程使用

CVSS评分

影响规模

CVE-2022-23305

Oracle WebLogic Server

集中式第三方JARs（Apache Log4j）

HTTP

是

9.8

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-21441

Oracle WebLogic Server

Core

T3/IIOP

是

7.5

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-23437

Oracle WebLogic Server

第三方工具（Apache Xerces-J）

HTTP

是

6.5

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2022-21453

Oracle WebLogic Server

Console

HTTP

是

6.1

12.2.1.3.0, 12.2.1.4.0,

14.1.1.0.0

CVE-2021-41184

Oracle WebLogic Server

Console, Samples (jQueryUI)

HTTP

是

6.1

12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0

CVE-2021-28170

Oracle WebLogic Server

集中式第三方JARs（JBoss企业应用平台）

HTTP

是

5.3

14.1.1.0.0

CVE-2020-8908

Oracle WebLogic Server

第三方工具(Guava)

None

否

3.3

14.1.1.0.0

 

其中， ，，，，值得关注的误差包括Oracle WebLogic Server远程代码执行误差（CVE-2022-23305）和Oracle WebLogic Server拒绝效劳误差（CVE-2022-21441）等：

CVE-2022-23305：Oracle WebLogic Server 中引用了第三方JARs（Apache Log4j）， ，，，，当特殊设置为使用JDBCAppender时， ，，，，Log4j 1.2.x保存SQL注入误差。。。乐成使用此误差可以在未经身份验证的情形下通过 HTTP 会见效劳器， ，，，，最终导致Oracle WebLogic Server 被接受。。。

注：Apache Log4j 1.2已于2015 年 8 月阻止维护。。。

CVE-2022-21441：Oracle WebLogic Server Core保存清静误差， ，，，，允许在未经身份验证的情形下通过T3/IIOP 举行网络会见， ，，，，从而攻击Oracle WebLogic Server， ，，，，乐成使用此误差可能会导致 Oracle WebLogic Server挂起或频仍重复瓦解（完全DOS）。。。

 

影响规模

Oracle WebLogic Server 12.2.1.3.0

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

 

0x02 处置惩罚建议

现在Oracle已经宣布了相关误差的补丁荟萃， ，，，，受影响用户可更新。。。

参考链接：

https://www.oracle.com/security-alerts/cpuapr2022.html

缓解步伐：

如非须要， ，，，，可以禁用T3和IIOP协议。。。

禁用T3协议：

详细操作：

1）进入WebLogic控制台， ，，，，在base_domain的设置页面中， ，，，，进入“清静”选项卡页面， ，，，，点击“筛选器”， ，，，，进入毗连筛选器设置。。。

2)在毗连筛选器中输入：weblogic.security.net.ConnectionFilterImpl， ，，，，在毗连筛选器规则中输入：127.0.0.1 * * allow t3t3s， ，，，，0.0.0.0/0 * *deny t3 t3s(t3和t3s协议的所有端口只允许外地会见)。。。

3）生涯后需重新启动， ，，，，规则方可生效。。。

image.png

 

禁用IIOP协议：

登录WebLogic控制台， ，，，，base_domain >效劳器提要 >AdminServer

image.png

 

0x03 参考链接

https://www.oracle.com/security-alerts/cpuapr2022.html

https://nvd.nist.gov/vuln/detail/CVE-2022-23305

https://nvd.nist.gov/vuln/detail/CVE-2022-21441

 

0x04 更新版本

版本

日期

修改内容

V1.0

2022-04-20

首次宣布

 

0x05 附录

鉴黑担保网简介

鉴黑担保网公司建设于1996年， ，，，，并于2010年6月23日在深交所中小板正式挂牌上市， ，，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。

公司总部位于北京市中关村软件园， ，，，，在天下各省、市、自治区设有分支机构， ，，，，拥有笼罩天下的渠道系统和手艺支持中心， ，，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。

多年来， ，，，，鉴黑担保网致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳， ，，，，资助客户周全提升其IT基础设施的清静性和生产效能， ，，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。

 

关于鉴黑担保网

鉴黑担保网清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。

关注以下公众号， ，，，，获取全球最新清静资讯：

image.png