阿里云
阿里云多端小程序中小企业获客首选
发表主题 回复主题
  • 6559阅读
  • 0回复

[安全漏洞公告专区]【重要安全预警】CVE-2017-3248:WebLogic反序列化漏洞补丁绕过

级别: 论坛版主
发帖
241
云币
478
著名的web中间件WebLogic被曝出之前的反序列化安全漏洞补丁存在绕过安全风险,用户更新补丁后,仍然存在被绕过成功执行远程命令攻击的情况,攻击者可以通过该漏洞获取系统权限,安全风险高,Oracle官方及时发布了最新补丁,修复了该漏洞阿里云安全团队建议用户尽快查并升级 p^``hP:J  
具体详情如下:                                                                                    
漏洞编号: ^5~[G%G4  
CVE-2017-3248 ,Pd2ZfZ  
漏洞名称: Vkb&' rXw+  
WebLogic 反序列化漏洞补丁绕过 7e"(]NC84  
官方评级: Lsozl<@  
高危 @]h#T4z'  
漏洞描述: <!|2Ru  
Oracle WebLogic Server 10.3.6.0, 12.1.3.0, 12.2.1.0和12.2.1.1版本存在反序列化远程命令执行漏洞,恶意人员可以通过构造恶意请求报文远程执行命令,获取系统权限,存在严重的安全风险。 u$[T8UqF  
漏洞利用条件和方式: $mOK|=tI_  
远程利用 0,;FiOp  
漏洞影响范围: JhDjY8?86  
WebLogic 10.3.6.0 QrPWS-3~!  
WebLogic 12.1.3.0 o&~z8/?LA  
WebLogic 12.2.1.0 |T"{q  
WebLogic 12.2.1.1 3-8Vw$u  
漏洞检测: U%45qCU  
  • 检测版本是否在受影响范围内
  • 检测是否对外开放weblogic 7001端口
(<.1o_Q-LU  
漏洞修复建议(或缓解措施):
  • 目前厂商已经发布了最新升级补丁以修复这些安全问题,强烈建议您尽快安装最新补丁;
  • 使用安全组策略屏蔽7001内网入和公网入方向流量。
8YN+ \  
提示:oracle官方补丁需要已经有购买正版软件的许可账号,使用该账号登录到https://support.oracle.com后才能下载最新补丁。 #PA"l` "  
情报来源: 1.H"$D>TC  
  • http://www.securityfocus.com/bid/95465
  • http://www.cnvd.org.cn/flaw/show/CNVD-2017-00919
  • http://www.oracle.com/technetwork/security-advisory/cpujan2017-2881727.html#AppendixFMW
xI~\15PhG  
1^Zx-p3J  
T+4Musu{V  
[ 此帖被正禾在2017-12-23 11:14重新编辑 ]
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您提交过一次失败了,可以用”恢复数据”来恢复帖子内容
 
验证问题: ECS是阿里云提供的什么服务? 正确答案:云服务器
上一个 下一个
      ×
      全新阿里云开发者社区, 去探索开发者的新世界吧!
      一站式的体验,更多的精彩!
      通过下面领域大门,一起探索新的技术世界吧~ (点击图标进入)