Weblogic核心组件反序列化漏洞修复方案（CVE-2020-14825）

最新推荐文章于 2024-09-14 17:50:27 发布
最新推荐文章于 2024-09-14 17:50:27 发布
阅读量1.2k 收藏
点赞数
分类专栏： 中间件 文章标签： weblogic 组件 反序列化 漏洞 修复
原文链接：http://blog.itpub.net/28833846/viewspace-2729563/
版权

本文源自：http://blog.itpub.net/28833846/viewspace-2729563/

一、漏洞描述

2020年10月20日，Oracle官方网站公布了的关于WebLogic安全漏 ，其中漏洞风险最高的是weblogic server服务漏洞它对应CVE编号是CVE-2020-14882，WebLogicServer Core组件的安全漏洞对应 CVE编号是CVE-2020-14841和 CVE-2020-14825。这些漏洞需要运维项目中重点关注，漏洞攻击的目标 是未经身份验证的攻击者通过HTTP、IIOP、T3协议发送恶意请求，从而从weblogic中间件服务行代码，最终控制目标服务器，达到攻击者的目标。 
二、漏洞分析 

针对weblogic反序列化漏洞,Oracle官网从2020年10月20日关键补丁更新开始，Oracle列出了解决第三方组件中不可利用的漏洞的更新，这些漏洞包含在其各自的Oracle产品中的产品风险矩阵下。有人试图恶意利用Oracle已发布安全修补程序的漏洞进行攻击。在某些情况下，据报道，攻击者之所以成功，是因为目标客户未能应用可用的Oracle补丁程序。因此，Oracle强烈建议客户继续使用受支持的版本，并立即应用关键补丁更新安全补丁。


三、漏洞级别

CVE对上述风险的综合评级为“ 高危”。 
四、影响范围 

 

软件

受影响的版本

weblogic Server

Weblogic Server10.3.6.0.0

Weblogic Server12.1.3.0.0

Weblogic Server12.2.1.3.0

Weblogic Server12.2.1.4.0

Weblogic Server14.1.1.0.0

五、漏洞修复建议

  Oracle官方针对weblogic server软件对应版本在 2020 年 10 月 20 日已经发布了最新补丁包来修复，建议用户项目中使用了weblogic软件的系统进行自查，如有对应漏洞版本还需要及时修复，以免带来不必要的风险与损失。

Weblogic Server 10.3.6 漏洞修复方法

1、JDK版本升级到JDK 7 u191或最新版本

2、更新weblogic最新PSU补丁包10.3.6.0.201020

补丁下载地址：

https://updates.oracle.com/Orion/Services/download/p31641257_1036_Generic.zip?aru=23872336&patch_file=p31641257_1036_Generic.zip

Weblogic Server 12.1.3 漏洞修复方法

1、JDK版本升级到JDK 7 u191或最新版本

2、更新weblogic最新PSU补丁包12.1.3.0.201020

补丁下载地址：

https://updates.oracle.com/Orion/Services/download/p31656851_121300_Generic.zip?aru=23772998&patch_file=p31656851_121300_Generic.zip

Weblogic Server 12.2.1.3 漏洞修复方法

1、JDK版本升级到JDK 8u181或最新版本

2、更新weblogic最新PSU补丁包12.2.1.3.201001

补丁下载地址：

https://updates.oracle.com/Orion/Services/download/p31961038_122130_Generic.zip?aru=23842262&patch_file=p31961038_122130_Generic.zip

Weblogic Server 12.2.1.4 漏洞修复方法

1、更新weblogic最新PSU补丁包12.2.1.4.201001

补丁下载地址：

https://updates.oracle.com/Orion/Services/download/p31960985_122140_Generic.zip?aru=23842278&patch_file=p31960985_122140_Generic.zip

Weblogic Server 14.1.1.0 漏洞修复方法

1、更新weblogic最新PSU补丁包14.1.1.0.200930

补丁下载地址：

https://updates.oracle.com/Orion/Services/download/p31957062_141100_Generic.zip?aru=23840361&patch_file=p31957062_141100_Generic.zip

六、参考资料

https://www.oracle.com/security-alerts/cpuoct2020.html

https://www.secrss.com/articles/26431

weblogic10.3.6补丁（java反序列化漏洞更新步骤）.docx
09-10
weblogic10.3.6补丁（java反序列化漏洞更新步骤）.docx
Oracle+Weblogic+Server+Java反序列化漏洞 解决方案
04-20
Oracle+Weblogic+Server+Java反序列化漏洞 解决方案 Oracle+Weblogic+Server+Java反序列化漏洞 解决方案
WebLogic漏洞复现（附带修复方法）_weblogic漏洞修复
最新发布
zzz6583zz的博客
09-14 1066
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
weblogic反序列化漏洞描述影响范围及修复方法
weixin_55811105的博客
04-18 1344
Weblogic远程代码执行漏洞CVE- 2018-3245加固 1、漏洞描述 ①WebLogic Server中的RMI通信使用T3协议在WebLogic Server和其他Java程序(包括客户端及其他WebLogic Server实例)间传输数据(列化的类)。由于WebLogic的T3协议和Web协议共用同一个端口,因此只要能访问WebLogic就可利用T3 协议实现payload和目标服务器的通信。 ②WebLogic java反序列化漏洞( CVE-2018-3245 )是通过JRMP协议利用RM
weblogic basedoman 加载两个项目_WebLogic远程代码执行漏洞CVE202014825
weixin_39518840的博客
12-12 210
漏洞概要 漏洞名称：WeblLogic远程代码执行漏洞CVE-2020-14825威胁等级：高危影响范围：Oracle WebLogic Server 12.2.1.3.0Oracle WebLogic Server 12.2.1.4.0Oracle WebLogic Server 14.1.1.0.0漏洞类型：远程代码执行利用难度：简单 漏洞分析 2.1 We...
Linux环境下Weblogic反序列化漏洞整改
哎呦喂
03-18 1258
反序列化漏洞整改方案一：1.到weblogic官网下载补丁包（p20780171_1036_Generic.zip、p22248372_1036012_Generic.zip（如果找不到的朋友，可以在回复中给我留下邮箱，说明需求，我会定期回复。）2、登录linux的weblogic用户,确认当前weblogic版本,并确认所有域的进程全部关闭。3、切换到/home/weblogic/Oracle/...
Weblogic 反序列化漏洞 （CVE-2018-2893 & CVE-2018-3245）
ak.Gh0st的博客
06-30 5200
Weblogic 远程代码执行 （CVE-2018-2893 & CVE-2018-3245）WebLogic Server使用T3协议在WebLogic Server和客户端间传输数据和通信，由于WebLogic的T3协议和Web协议使用相同的端口，导致在默认情况下，WebLogic Server T3协议通信和Web端具有相同的访问权限。 易受攻击的WebLogic服务允许未经身份验证的攻击者通过T3网络访问及破坏Oracle WebLogic Server。此漏洞的成功攻击可能导致攻击者接管Oracl
Java反序列化漏洞检查工具V1.2_Weblogic XML反序列化漏洞检查工具CVE-2017-10271
11-11
工具"Java反序列化漏洞检查工具V1.2_Weblogic XML反序列化漏洞检查工具CVE-2017-10271"是针对这一特定漏洞的检测与防护解决方案。 首先，我们来理解什么是Java反序列化漏洞。在Java中，序列化是将对象的状态转化为...
Weblogic+XML反序列化漏洞检查工具CVE-2017-10271+V1.2
05-21
好用的Weblogic XML 反序列化漏洞检查工具 CVE-2017-10271 使用范围Oracle WebLogic Server 10.3.6.0.0版本 Oracle WebLogic Server 12.2.1.1.0版本 Oracle WebLogic Server 12.1.3.0.0版本
WebLogic UniversalExtractor反序列化漏洞(CVE-2020-14645)的复现和分析
smellycat000的专栏
11-23 660
聚焦源代码安全，网罗国内外最新资讯！1.1 状态完成漏洞挖掘条件分析、漏洞复现。1.2 简介WebLogic 是美国 Oracle 公司的 Java 应用服务器，确切说是一个中间件，被...
weblogic反序列化漏洞(绕过CVE-2019-2725)-检测POC .txt
06-27
weblogic反序列化漏洞(绕过CVE-2019-2725)-检测POC .网上几乎没有，请珍惜。
解决weblogic923 BUG:8194412补丁包
04-23
解决weblogic923 BUG:8194412补丁包 weblogic日志报如下错误： Caused by: java.lang.RuntimeException: javax.management.remote.JMXServerErrorException: java.lang.AssertionError: Registered more than one instance with the same objectName : com.bea:Name=wl04,Type=UnixMachine new: com.bea:Name=wl04,Location=wlpServer2, Type=UnixMachine existing com.bea:Name=wl04,Location=wlpServer2,Type=UnixMachine
WebLogic_14.1.1.0.0.zip
10-13
WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网...
part2_weblogic-CEV反序列化补丁p28483404_BHT3反序列化补丁part2
01-11
weblohic-CEV-安全漏洞补丁，p28483404_BHT3反序列化补丁-CVE-2017-2018 是weblogic wls-wsat组件的一个xml反序列化漏洞补丁，该漏洞可造成远程命令执行。下载PART1,PART2,再加上 weblogic-CEV-2018补丁升级方法文档 就可以搞定该漏洞
linux下weblogic12c漏洞修复打补丁基本操作
张林旺的专栏
11-12 2555
日常运维工作中我们有时需要给weblogic打补丁，补丁文件是oracle官方发布的zip包。下面均为我本地的目录结构，实际操作中以你实际的目录为准。 1、上传补丁并解压 cd /picclife/software/psu -----指定一个存放的目录 上传补丁：p30386660_122130_Generic.zip 然后解压：unzip p30386660_122130_Generic....
总结分析组件化漏洞产生的原理
qq_53058639的博客
01-04 263
Coherence 组件是 WebLogic 中的一个核心组件，内置在 WebLogic 中。近些年，weblogic Coherence 组件反序列化漏洞被频繁爆出，苦于网上没有公开对 weblogic Coherence 组件历史反序列化漏洞的总结，导致很多想入门或者了解 weblogic Coherence 组件反序列化漏洞的朋友不知道该怎么下手，于是本文便对 weblogic Coherence 组件历史反序列化漏洞做出了一个总结和分析。
weblogic 更新补丁流程
weixin_45161862的博客
05-16 2669
根据oracle官方补丁集安装要求，在为weblogic安装补丁集之前，有以下要求：1、需要将当前 weblogic 中已经安装的补丁集全部移除；2、确保所有的 weblogic server 全部停止，（全部的Java进程，包括NodeManager）3、以下安装步骤中所有指令均用weblogic用户操作。注：/weblogic/DataBase/Middleware/ 各应用项目的安装部署路径各有差异，在开始打补丁时，需做整体替换。
CVE-2023-21839：Weblogic反序列化漏洞复现
薛定谔嘚喵博客
04-16 4375
WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
利用POC检测WebLogic反序列化漏洞CVE-2019-2725
在2019年，Oracle WebLogic服务器遭遇了一个严重的反序列化漏洞，即CVE-2019-2725。这个漏洞允许攻击者通过精心构造的恶意请求，利用WebLogic应用程序中的序列化功能来执行任意代码，从而获取系统控制权限。由于其...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值