文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

CVE-2020-2555：Oracle Coherence 反序列化RCE复现

0x01 简介 Oracle Coherence为Oracle融合中间件中的产品，在WebLogic 12c及以上版本中默认集成到WebLogic安装包中，T3是用于在WebLogic服务器和其他类型的...使用了Oracle Coherence库的产品受此漏洞影响，在WebLogic Server 11g Release（10.3.4）及以上版本的安装包中默认集成了Oracle Coherence库。...0x03 影响版本 Oracle Coherence 3.7.1.17 Oracle Coherence 12.1.3.0.0 Oracle Coherence 12.2.1.3.0 Oracle...Coherence 12.2.1.4.0 0x04 环境搭建 本次环境： jdk:1.7.079，weblogic:12.1.3 1、首先安装Java环境变量（自行百度） 2、weblogic安装...升级补丁，参考oracle官网发布的补丁 https://www.oracle.com/security-alerts/cpujan2020.html 如果不依赖T3协议进行JVM通信，禁用T3协议

2.1K30
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    头疼吗？来，带你搞定Oracle！

    Oracle功能强大、性能卓越，完全可以代表数据库技术的最高水平，大量核心金融交易系统都构建在 Oracle 数据库之上，甚至在很多场景中，Oracle是无法替代的存在。...数据库性能的好坏直接影响应用程序能否快速响应用户指令，在高并发、高性能和高一致性要求的环境中，Oracle 数据库性能问题是众多DBA最恼火的问题。    ...博文视点学院特邀 Oracle优化领域专家师庆栋老师将其经典畅销书《Oracle查询优化改写技巧与案例》中知识点重新整理，加之师老师多年线上培训班的开课经验，整合而出一套超700分钟的精品视频教程——...Oracle查询改写优化技巧 >>扫描下方二维码进入专栏，玩转Oracle查询改写 限时特惠，700分钟+视频讲解，仅需44.9元！

    85320

    UST 会成为算法稳定币的末日吗？

    所有这些都为该行业提出了两个非常重要的问题：所有算法稳定币都会走向终结吗？是否应该制定法规来防止类似的灾难发生？...Jonathan Wu将其与由 MakerDAO 维护的基于区块链的稳定币DAI进行了比较，该稳定币持有超额抵押的加密货币储备，使用成本为 2 美元。...就在今天，Deus Finance 的算法稳定币DEI在欧洲交易时段跌至 54 美分，一定程度上是由于稳定币交易的波动性造成的。...Cuban 在 去年9月发推文说，“什么是算法稳定币？稳定吗？买家是否了解风险是什么？它需要标准。” 如果如果链上机制无法维持自己的价格控制，那么其他一些实体就会介入制定标准。...稳定币的规则即将出台，以使其外观和功能更像银行。类似的规则可以在加密行业中自我执行。即使是算法稳定币，用户也可能需要强大的储备。”

    87680

    Weblogic Coherence组件远程代码执行漏洞（CVE-2020-2555）

    0x01 漏洞描述 - Weblogic Coherence组件远程代码执行漏洞（CVE-2020-2555） - Coherence是Oracle建立一种高可靠和高扩展集群计算的一个关键部件，Coherence...Oracle官方发布了2020年1月关键补丁更新公告，其中包括一个Oracle Coherence反序列化远程代码执行漏洞（CVE-2020-2555），CVSS评分为9.8；该漏洞允许未经身份验证的攻击者通过构造...使用了Oracle Coherence库的产品受此漏洞影响，在WebLogicServer 11g Release（10.3.4）及以上版本的安装包中默认集成了Oracle Coherence库。...影响版本： Oracle Coherence 3.7.1.17 Oracle Coherence & Weblogic 12.1.3.0.0 Oracle Coherence & Weblogic 12.2.1.3.0...Oracle Coherence & Weblogic 12.2.1.4.0 0x02 漏洞等级 图片 0x03 漏洞验证 使用WeblogicScaner工具检测目标网站存在CVE-2020-2555

    70940

    你知道Oracle的Sequence序列吗？

    sequence作为Oracle一个非常普通的对象，在实际设计和开发的过程中，还是有些知识，以及细节，值得总结和注意，下面我会从四个方面，展开介绍， 1. sequence基本介绍 2. sequence...2. sequence性能问题 sequence是非常普通的Oracle对象，但如果使用不当，就可能会导致一些性能问题，如下介绍了三个场景。...注：对Oracle数据库这里不能像其它数据库那样用prepareStatement(vsql,Statement.RETURN_GENERATED_KEYS)方法，这种语法是用来取自增类型的数据。...这种方法的优点，是性能良好，只要一次sql交互，实际上内部也是将sql转换成oracle的returning into的语法，缺点是只有Oracle10g才支持，使用较少。...最后用getReturnResultSet取到新插入的sequence值，这种方法的优点，是性能最好，因为只要一次sql交互，oracle 9i也支持，缺点是只能使用Oracle jdbc特有的OraclePreparedStatement

    1.2K10

    如何保持Oracle数据库SQL性能的稳定性

    Oracle优化器严重依赖于统计信息，如果统计信息有问题，则很容易导致SQL不能使用正确的执行计划。 2....如何保持SQL性能的稳定 为保持SQL性能或者说是执行计划的稳定性，需要从以下几个方面着手： 1. 规划好优化统计信息的收集策略。...由于绑定变量与直方图固有的矛盾，为保持性能稳定，对使用绑定变量的列，不收集列上的直方图；对的确需要收集直方图的列，在SQL中该列上的条件就不要用绑定变量。...修改隐含参数” _optim_peek_user_binds”为FALSE，修改这个参数可能会引起性能问题（这里讨论的是稳定性问题）。 4. 使用OUTLINE。...SQL Profile是Oracle 10g之后的新功能，此处不再介绍，请参考相应的文档。

    1.7K70

    你叫Oracle就可以为所欲为吗？

    Oracle如此之“吝啬”的原因很简单，那就是公司认为自己在所有方面都是如此的伟大。Oracle一直在炫耀自己拥有“定制”的基础设施，但是，其他厂商同样也拥有这样的基础设施。...而且对比于AWS、微软和Google这样具有丰富经验的定制老玩家，Oracle还是个新手。 Oracle能否追赶上自己的云对手们？ Oracle能够追上它的竞争对手？这实在是太难想象了。...尽管Oracle仍旧占有这40%的数据库市场，但它的优势地位已开始被撼动。 难道对于Oracle来说，就没有什么好消息了吗？...与此同时，Oracle之所以可以在云计算中进行投入是因为它仍旧可以从大量使用传统数据库的企业中收取足量的维护费用，这为Oracle实现其在云的愿望提供了充足的资金。...但是这样就足够吗？当然还不够。但是，这确实能够让Oracle吸引更多的客户去使用它的云计算应用。

    83050

    Oracle可以再造辉煌吗？

    而在传统企业服务厂商中，Oracle自然是其中的代表者，在经历了早些年间的挣扎与转型之后，这些年来，Oracle的日子可谓是“蒸蒸日上”。...Oracle如何“花式作死”？ 曾有一段时间，Oracle最为出名的不再是自身出色的数据库服务和其他软件产品，反而是Ellison无处不在的嘴仗与Oracle发起的各种法律诉讼。...对此，有市场分析人员认为Oracle终于正视了自身的问题，因为NetSuite不仅将扩展Oracle整体的市场份额，并且还将中小型企业拉入到Oracle的客户群体当中。...不过，尽管似乎看起来Oracle整体上已逐渐走回正轨，但在如今这个强敌环伺环境中，Oracle还能再现自己曾经的荣耀吗？ 你大爷还是你大爷吗？...那么，Oracle可以做到这一点吗？ 其实对于企业特别是老牌企业来说，“不转型是等死，但转型可能是找死”，这其中存在这大量的案例与事实。

    1.3K30

    CVE-2020-14882​&14883：Weblogic RCE复现

    作者：ebounce@Timeline Sec 本文字数：3235 阅读时长：9～10min 声明：请勿用作违法用途，否则后果自负 0x01 简介 Weblogic是美国Oracle公司出品的一个Application...ShellSession利用 com.tangosol.coherence.mvel2.sh.ShellSession就是大佬们找到的类，我们先看看这个类： /dep/coherence-rest.jar...,，基本属于不带..玩了，我们马上来看看，为什么要禁止这几个字符吧: 首先是weblogic的校验函数: /dep/com.oracle.weblogic.servlet.jar!...该函数会校验请求的路由是否经过校验，这个校验的标志由getConstraint函数提供，打上断点之后F7来到了 /dep/com.oracle.weblogic.servlet.jar!...0x07 修复方式 此次 Oracle 官方的 CPU已发布了针对该漏洞的补丁，请受影响用户及时下载补丁程序并安装更新。

    2.4K10
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券