一、漏洞概要
|
漏洞名称 |
Oracle 补丁日多个漏洞 |
|
发布时间 |
2023年7月19日 |
|
组件名称 |
Oracle WebLogic Server Oracle Coherence |
|
安全公告链接 |
https://www.oracle.com/security-alerts/cpujul2023.html |
|
官方解决方案 |
已发布 |
二、漏洞分析
组件介绍
WebLogic是美国Oracle公司出品的一个Application Server，确切地说是一个基于Jave EE架构的中间件，是一款用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。
WebLogic将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中，是商业市场上主要的Java（J2EE）应用服务器软件（Application Server）之一，是世界上第一个成功商业化的J2EE应用服务器，具有可扩展性、快速开发、灵活、可靠性等优势。
漏洞简介
近日，深信服安全团队监测到一则Oracle WebLogic官方发布安全补丁的通告，共修复了8个安全漏洞，其中包含4个高危漏洞的信息。
|
序号 |
漏洞名称 |
影响版本 |
严重等级 |
|
1 |
Oracle WebLogic Server远程代码执行漏洞(CVE-2023-26119) |
Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
严重 |
|
2 |
Oracle WebLogic Server拒绝服务漏洞(CVE-2023-1436) |
Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
高危 |
|
3 |
Oracle WebLogic Server拒绝服务漏洞(CVE-2023-1370) |
Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
高危 |
|
4 |
Oracle WebLogic Server 身份认证绕过漏洞(CVE-2023-20860) |
Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
高危 |
|
5 |
Oracle WebLogic Server 拒绝服务漏洞(CVE-2023-20863) |
Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
中危 |
|
6 |
Oracle WebLogic Server拒绝服务漏洞(CVE-2023-22040) |
Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
中危 |
|
7 |
Oracle WebLogic Server拒绝服务漏洞(CVE-2023-22031) |
Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
中危 |
|
8 |
Oracle Coherence Cookie 解析漏洞(CVE-2023-26049) |
Oracle Coherence 12.2.1.4.0 Oracle Coherence 14.1.1.0.0 |
中危 |
2.3 高危漏洞描述
1.Oracle WebLogic Server远程代码执行漏洞(CVE-2023-26119)
Oracle WebLogic Server存在远程代码执行漏洞，此漏洞是因为Weblogic引入了不安全的第三方组件（NekoHTML）导致，攻击者可以利用此漏洞执行任意命令。
2.Oracle WebLogic Server拒绝服务漏洞(CVE-2023-1436)
Oracle WebLogic Server存在拒绝服务漏洞，此漏洞是因为Weblogic引入了不安全的第三方组件（Jettison）导致，攻击者可以利用此漏洞造成拒绝服务。
3.Oracle WebLogic Server拒绝服务漏洞(CVE-2023-1370)
Oracle WebLogic Server存在拒绝服务漏洞，此漏洞是因为Weblogic引入了不安全的第三方组件（json-smart）导致，攻击者可以利用此漏洞造成拒绝服务。
4.Oracle WebLogic Server 身份认证绕过漏洞(CVE-2023-20860)
Oracle WebLogic Server存在身份认证绕过漏洞，此漏洞是因为Weblogic引入了不安全的第三方组件（Spring Framework）导致，攻击者可以利用此漏洞绕过认证。
影响范围
WebLogic 是用于开发、集成、部署和管理大型分布式Web 应用、网络应用和数据库应用的 Java 应用服务器，在全球范围内有广泛的使用。可能受漏洞影响的资产广泛分布于世界各地，广东、北京、上海等省市的受影响资产约占国内受影响资产的 70 %。今年曝出的漏洞涉及用户量多，导致漏洞影响力很大。
当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。