漏洞描述
今日,Oracle官方发布WebLogic安全更新,其中修复了一个CVSS评分为9.8的严重漏洞(CVE-2020-14645),该漏洞通过T3协议进行利用,攻击者可以实现远程代码执行,进而控制服务器。由于漏洞利用复杂度低,风险高,建议尽快修复。
发现过程
腾讯蓝军(Tencent Force)在测试WebLogic历史漏洞时发现补丁修复不全面,Oracle Coherence存在绕过方式。
影响情况
影响版本:
Oracle WebLogic Server 12.2.1.4
利用条件:
开放T3协议默认即可被利用
影响数量:
我们使用知道创宇ZoomEye快速检索发现有10万多个WebLogic服务在公网开放(中国约占五分之一),其中有一部分没禁用T3协议,ZoomEye网络空间搜索能力很好的让我们可以快速初步评估受影响量级。
自查方法
WebLogic是Oracle公司出品的用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器,全球使用广泛。WebLogic的远程方法调用RMI通信使用T3协议,而T3协议与HTTP协议复用7001端口,默