安全通告
Oracle多個高危漏洞安全風(fēng)險通告
發(fā)布日期：2021-10-20
?
漏洞描述
2021年10月20日，監(jiān)測發(fā)現(xiàn)Oracle官方發(fā)布了2021年10月份的風(fēng)險通告，此次安全更新發(fā)布了419個漏洞補丁，其中 CVE-2021-35617（Oracle WebLogic Server遠程代碼執(zhí)行漏洞）影響較為嚴重。
對此，建議廣大用戶及時將Oracle產(chǎn)品升級到最新版本。與此同時，請做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。
漏洞編號
CVE-2021-35617、CVE-2021-35620等
漏洞危害
CVE-2021-35617: Oracle WebLogic Server遠程代碼執(zhí)行漏洞
攻擊者可以在未授權(quán)的情況下通過IIOP協(xié)議對存在漏洞的Oracle WebLogic Server組件進行攻擊。成功利用該漏洞的攻擊者可以接管Oracle WebLogic Server。
CVE-2021-35620: Oracle WebLogic Server拒絕服務(wù)漏洞
該漏洞允許未經(jīng)身份驗證的攻擊者通過 T3 協(xié)議訪問來破壞Oracle WebLogic Server。成功利用此漏洞將會導(dǎo)致Oracle WebLogic Server 服務(wù)掛起或重復(fù)崩潰（DOS）。
漏洞等級
高危
受影響版本
| CVE編號 | 影響組件 | 受影響版本 |
| CVE-2021-35617 | Oracle WebLogic Server(Coherence Container) | 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
| CVE-2021-35620 | Oracle ? WebLogic Server(Core) | 10.3.6.0.0, ? 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
?
修復(fù)方案
由于成功攻擊會帶來威脅，強烈建議客戶盡快應(yīng)用重要補丁更新安全補丁。在您應(yīng)用重要補丁更新補丁之前，可以通過阻止攻擊所需的網(wǎng)絡(luò)協(xié)議來降低成功攻擊的風(fēng)險。對于需要某些特權(quán)或訪問某些包的攻擊，從不需要特權(quán)的用戶那里刪除特權(quán)或訪問包的能力可能有助于降低成功攻擊的風(fēng)險。這兩種方法都可能破壞應(yīng)用程序的功能，因此強烈建議客戶在非生產(chǎn)系統(tǒng)上測試更改。這兩種方法都不應(yīng)被視為長期解決方案，因為它們都不能糾正根本問題。
參考鏈接
- https://www.oracle.com/security-alerts/cpujul2021.html
- https://www.oracle.com/security-alerts/cpuoct2021.html