【威胁通告】Weblogic远程代码执行漏洞（CVE-2020-2546、CVE-2020-2551）威胁通告

通告编号:NS-2020-0002

2020-01-15

1

漏洞概述

北京时间2020年1月15日，Oracle发布2020年1月关键补丁更新（Critical Patch Update，简称CPU），此次更新修复了333个危害程度不同的安全漏洞。其中196个漏洞可被远程未经身份认证的攻击者利用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个产品。Oracle强烈建议客户尽快应用关键补丁更新修复程序，对漏洞进行修复。

此次发布的补丁，修复了Weblogic的两个高危漏洞（CVE-2020-2546、CVE-2020-2551）：

• CVE-2020-2546

该漏洞通过T3协议实现利用、攻击者可通过此漏洞实现远程代码执行，CVSS评分均为9.8。利用复杂度低。

• CVE-2020-2551

该漏洞可以绕过Oracle官方在2019年10月份发布的最新安全补丁。攻击者可以通过IIOP协议远程访问Weblogic Server服务器上的远程接口，传入恶意数据，从而获取服务器权限并在未授权情况下远程执行任意代码。CVSS评分9.8。

IIOP协议以Java接口的形式对远程对象进行访问，默认启用。

参考链接：

https://www.oracle.com/security-alerts/cpujan2020.html

SEE MORE →

2影响范围

CVE-2020-2546

受影响版本

• WebLogic Server 10.3.6.0.0
• WebLogic Server 12.1.3.0.0

CVE-2020-2551

受影响版本

• Weblogic Server 10.3.6.0.0
• Weblogic Server 12.1.3.0.0,
• Weblogic Server 12.2.1.3.0
• Weblogic Server 12.2.1.4.0

3漏洞防护

请用户参考本文附录“受影响产品及补丁信息”及时下载受影响产品更新补丁，并参照补丁安装包中的readme文件进行安装更新，以保证长期有效的防护。

注：Oracle官方补丁需要用户持有正版软件的许可账号，使用该账号登陆https://support.oracle.com后，可以下载最新补丁。

此次Oracle官方的CPU，只发布了12.2.1.4.0版本的修复补丁，其他版本补丁将于2020年1月31日发布，请相关用户及时关注，在补丁发布后及时安装修复。

绿盟科技WEB应用防护系统（WAF）默认可通过“HTTP协议违背”对CVE-2020-2551的攻击进行拦截。

3.1 Weblogic漏洞缓解措施

若用户暂时不能安装最新补丁，可通过下列措施对漏洞进行临时防护：

• CVE-2020-2546

用户可通过禁用T3协议，对此漏洞进行临时缓解，具体操作可参考下列链接“4.2.2 T3协议访问控制”部分：

https://mp.weixin.qq.com/s/YWTSyEVunQUordwxThrGwA

• CVE-2020-2551

可通过关闭IIOP协议对此漏洞进行缓解。操作如下：

在Weblogic控制台中，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选。并重启Weblogic项目，使配置生效。

4CPU修复漏洞总结

此次关键补丁更新（CPU）修复的漏洞涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个常用产品。

Oracle官方2020年1月关键补丁更新漏洞总结如下：

END

作者：绿盟科技安全服务部