大工网安告[2024]030
一、 漏洞信息
Oracle官方发布了2024年10月的关键安全补丁集合更新CPU（Critical Patch Update），修复了多个漏洞包括CVE-2024-21216、CVE-2024-21274、CVE-2024-21215、CVE-2024-21234等。其中Oracle WebLogic Server T3/IIOP 远程命令执行漏洞(CVE-2024-21216)、Oracle WebLogic Server T3/IIOP未授权数据访问漏洞(CVE-2024-21234)影响相对较大。建议大家尽快自查并应用本次关键安全补丁集合（CPU）。
CVE编号 | 影响组件 | 协议 | 是否远程未授权利用 | CVSS | 受影响版本 |
CVE-2024-21216 | Oracle WebLogic Server (Core) | T3/IIOP | 是 | 9.8 | 12.2.1.4.0, 14.1.1.0.0 |
CVE-2024-21274 | Oracle WebLogic Server (Console) | HTTP | 是 | 7.5 | 12.2.1.4.0, 14.1.1.0.0 |
CVE-2024-21215 | Oracle WebLogic Server (Core) | HTTP | 是 | 7.5 | 12.2.1.4.0, 14.1.1.0.0 |
CVE-2024-21234 | Oracle WebLogic Server (Core) | T3/IIOP | 是 | 7.5 | 12.2.1.4.0, 14.1.1.0.0 |
CVE-2024-21260 | Oracle WebLogic Server (Core) | T3/IIOP | 是 | 7.5 | 12.2.1.4.0, 14.1.1.0.0 |
CVE-2024-5535 | MySQL Connectors: Connectors:Connector/ C++ (OpenSSL) | MySQL Protocol | 是 | 9.1 | 8.0.39 and prior, 8.4.2 and prior, 9.0.1 and prior |
CVE-2024-21272 | MySQL Connectors: Connector/Python | MySQL Protocol | 否 | 7.5 | 9.0.0 and prior |
需注意的是：
目前多个Oracle WebLogic Server版本已停止维护，详情如下：
10.3.6.0、11.1.1.9版本最终CPU 截止至2021年10月；
12.1.3.0版本最终CPU截止至2022年01月。
经研判，以下2个漏洞值得关注，漏洞的详细信息如下：
1、 Oracle WebLogic Server T3/IIOP 远程命令执行漏洞
Oracle WebLogic Server中存在命令执行漏洞。未经身份验证的攻击者可以通过T3 或IIOP 协议通过网络访问来破坏Oracle WebLogic Server。成功的攻击可能导致攻击者完全接管Oracle WebLogic Server。
参考链接：https://www.oracle.com/security-alerts/cpuoct2024.html
2、 Oracle WebLogic Server T3/IIOP 未授权数据访问漏洞
Oracle WebLogic Server中存在未授权访问漏洞。未经身份验证的攻击者可以通过T3或IIOP协议通过网络访问来破坏Oracle WebLogic Server。成功的攻击可能导致攻击者未经授权地访问关键数据或完全访问所有Oracle WebLogic Server可访问的数据。
参考链接：https://www.oracle.com/security-alerts/cpuoct2024.html
二、 影响范围
Oracle MySQL Server <= 8.0.39
Oracle MySQL Server <= 8.4.2
Oracle MySQL Server <= 9.0.1
CVE编号 | 受影响版本 |
CVE-2024-21216 | Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
CVE-2024-21274 | Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
CVE-2024-21215 | Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
CVE-2024-21234 | Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
CVE-2024-21260 | Oracle WebLogic Server 12.2.1.4.0 Oracle WebLogic Server 14.1.1.0.0 |
CVE-2024-5535 |
|
CVE-2024-21272 | Oracle MySQL Server <= 9.0.0 |
三、 处置建议
目前官方已发布补丁，请参考以下链接进行修复：
https://www.oracle.com/security-alerts/cpujul2024.html：
Oracle WebLogic Server升级方式
1. Oracle WebLogic Server 12c：
参考补丁文件，使用opatch apply安装补丁
C:\Oracle\Middleware\Oracle_Home\OPatch>opatch apply本机补丁地址
注：补丁编号请自行更改为新补丁编号。
若非必须开启，请禁用T3和IIOP协议。
禁用T3、IIOP协议具体操作步骤如下：
1. 禁用T3：
进入WebLogic 控制台，在base_domain 的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。
在连接筛选器中输入：WebLogic.security.net.ConnectionFilterImpl，参考以下写法，在连接筛选器规则中配置符合企业实际情况的规则：
127.0.0.1 * * allow t3 t3s
本机IP * * allow t3 t3s
允许访问的IP * * allow t3 t3s
* * * deny t3 t3s
连接筛选器规则格式如下：target localAddress localPort action protocols，其中：
target指定一个或多个要筛选的服务器。
localAddress可定义服务器的主机地址。(如果指定为一个星号(*)，则返回的匹配结果将是所有本地IP 地址。)
localPort定义服务器正在监听的端口。(如果指定了星号，则匹配返回的结果将是服务器上所有可用的端口)。
action指定要执行的操作。(值必须为“allow”或“deny”。)
protocols是要进行匹配的协议名列表。(必须指定下列其中一个协议：http、https、t3、t3s、giop、giops、dcom 或ftp。) 如果未定义协议，则所有协议都将与一个规则匹配。保存后若规则未生效，建议重新启动WebLogic 服务（重启WebLogic 服务会导致业务中断，建议相关人员评估风险后，再进行操作）。以Windows环境为例，重启服务的步骤如下：
进入域所在目录下的bin 目录，在Windows 系统中运行stopWebLogic.cmd 文件终止WebLogic 服务，Linux 系统中则运行stopWebLogic.sh 文件。
待终止脚本执行完成后，再运行startWebLogic.cmd 或startWebLogic.sh 文件启动WebLogic，即可完成WebLogic 服务重启。
2.禁用IIOP：
用户可通过关闭IIOP 协议阻断针对利用IIOP 协议漏洞的攻击，操作如下：
在WebLogic控制台中，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选。并重启WebLogic项目，使配置生效。
