1.漏洞概述
北京时间2020年1月15日,Oracle发布2020年1月关键补丁更新(Critical Patch Update,简称CPU),此次更新修复了333个危害程度不同的安全漏洞。其中196个漏洞可被远程未经身份认证的攻击者利用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个产品。Oracle强烈建议客户尽快应用关键补丁更新修复程序,对漏洞进行修复。
此次发布的补丁,修复了Weblogic的两个高危漏洞(CVE-2020-2546、CVE-2020-2551):
CVE-2020-2546
该漏洞通过T3协议实现利用、攻击者可通过此漏洞实现远程代码执行,CVSS评分均为9.8。利用复杂度低。
CVE-2020-2551
该漏洞可以绕过Oracle官方在2019年10月份发布的最新安全补丁。攻击者可以通过IIOP协议远程访问Weblogic Server服务器上的远程接口,传入恶意数据,从而获取服务器权限并在未授权情况下远程执行任意代码。CVSS评分9.8。
IIOP协议以Java接口的形式对远程对象进行访问,默认启用。
参考链接:
https://www.oracle.com/security-alerts/cpujan2020.html
2.影响范围
CVE-2020-2546
受影响版本
WebLogic Server 10.3.6.0.0
WebLogic Server 12.1.3.0.0
CVE-2020-2551
受影响版本
Weblogic Server 10.3.6.0.0
Weblogic Server 12.1.3.0.0,
Weblogic Server 12.2.1.3.0
Weblogic Server 12.2.1.4.0
3.漏洞防护
请用户参考本文附录“受影响产品及补丁信息”及时下载受影响产品更新补丁,并参照补丁安装包中的readme文件进行安装更新,以保证长期有效的防护。
注:Oracle官方补丁需要用户持有正版软件的许可账号,使用该账号登陆https://support.oracle.com后,可以下载最新补丁。
此次Oracle官方的CPU,只发布了12.2.1.3、4.0版本的修复补丁,其他版本补丁将于2020年1月31日发布,请相关用户及时关注,在补丁发布后及时安装修复。
3.1 Weblogic漏洞缓解措施
若用户暂时不能安装最新补丁,可通过下列措施对漏洞进行临时防护:
CVE-2020-2546
用户可通过禁用T3协议,对此漏洞进行临时缓解,具体操作可参考下列链接“4.2.2 T3协议访问控制”部分:
https://mp.weixin.qq.com/s/YWTSyEVunQUordwxThrGwA
CVE-2020-2551
可通过关闭IIOP协议对此漏洞进行缓解。操作如下:
在Weblogic控制台中,选择“服务”->”AdminServer”->”协议”,取消“启用IIOP”的勾选。并重启Weblogic项目,使配置生效。
4.CPU修复漏洞总结
此次关键补丁更新(CPU)修复的漏洞涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个常用产品。
Oracle官方2020年1月关键补丁更新漏洞总结如下:
产品 |
漏洞个数 |
未授权远程利用个数 |
最高CVSS评分 |
Oracle Database server |
12 |
3 |
7.7 |
Oracle Communications Applications |
21 |
19 |
9.8 |
Oracle Construction and Engineering Suite |
12 |
8 |
9.8 |
Oracle E-Business Suite |
23 |
21 |
8.2 |
Oracle Enterprise Manager Products Suite |
50 |
10 |
9.8 |
Oracle Financial Services Applications |
24 |
6 |
7.5 |
Oracle Food and Beverage Applications |
1 |
0 |
4.9 |
Oracle Fusion Middleware |
38 |
30 |
9.8 |
Oracle GraalVM Executive |
5 |
3 |
9.8 |
Oracle Health Sciences Applications |
3 |
3 |
9.8 |
Oracle Hospitality Applications |
5 |
2 |
7.5 |
Oracle Hyperion Executive |
2 |
1 |
9.8 |
Oracle iLearning Executive |
1 |
1 |
4.7 |
Oracle Java SE |
12 |
12 |
8.1 |
Oracle JD Edwards |
9 |
9 |
9.8 |
Oracle MySQL |
19 |
6 |
7.5 |
Oracle PeopleSoft Products |
15 |
12 |
9.8 |
Oracle Retail Applications |
24 |
15 |
9.8 |
Oracle Siebel CRM |
5 |
5 |
9.8 |
Oracle Sun Systems Products |
18 |
9 |
9.8 |
Oracle Supply Chain Products Suite |
8 |
8 |
9.6 |
Oracle Support Tools |
1 |
1 |
6.1 |
Oracle Utilities Applications |
4 |
4 |
9.8 |
Oracle Virtualization |
22 |
3 |
8.2 |