java反序列化weblogic_Oracle WebLogic Java反序列化漏洞通知

尊敬的用户：

您好！Oracle WebLogic被曝出存在Java反序列化漏洞(CVE-2017-3248)修复方案绕过风险，被攻击者利用可造成服务器被入侵和业务数据被窃取。

该漏洞风险等级为高，为保证您的服务器安全，我们建议您及时开展安全自查并开展漏洞修复工作，详情参见如下指引说明：

【漏洞概述】

当用户提交一个精心构造的恶意的序列化数据到服务器端时，由于Oracle WebLogic在反序列化时存在漏洞，可导致远程任意代码执行漏洞，由于Oracle官方早期提供的修复方法为黑名单方式，但当出现新的类调用时，可绕过黑名单限制；

【风险等级】

高风险

【漏洞影响】

服务器被入侵，被攻击者利用可导致任意代码执行；

【影响版本】

OracleWebLogic 10.3.6.0, 12.1.3.0, 12.2.1.0, 12.2.1.1；

【漏洞检测】

1)查看您使用版本是否在受影响范围

2)在1的基础上，查看端口7001是否对外开放；

【修复建议】

1、目前官方已经发布最新修复补丁，您可以参照官网的最新修复方案修复漏洞(官方地址：http://www.oracle.com/technetwork/middleware/weblogic/overview/index.html)

1)可更新p25388747_1036_Generic(10.3.6.0.170418)这个官方最新的补丁，除此之外其它补丁均不安全

2、也可以参见以下几点临时缓解措施修复：

1)升级JDK版本，由于Java在今年一月份以后更新了反序列化防御接口，可以缓解反序列化漏洞的影响

2)升级WebLogic、删除不需要的页面，清理不安全的第三方库

3)检查WebLogic端口7001是否开放，若非必须，可配置安全组机器7001出入流量；

【相关参考】

1)http://www.securityfocus.com/bid/95465

2)http://www.cnvd.org.cn/flaw/show/CNVD-2017-00919

3)http://www.oracle.com/technetwork/security-advisory/cpujan2017-2881727.html#AppendixFMW