欢迎您来到腾讯云!积分商城

腾讯云腾讯云论坛

 找回密码
 立即注册
忘了密码?

扫一扫,访问微社区

快捷导航
搜索
查看: 1598|回复: 0

[安全通知] 【安全预警】关于Oracle WebLogic Java反序列化漏洞通知

 关闭 [复制链接]

219

主题

0

好友

1万

积分

腾讯云论坛管理组

Rank: 20Rank: 20

云币
33930
威望
13983
发表于 2017-6-25 23:33:57 |显示全部楼层
尊敬的腾讯云客户:
   您好!Oracle WebLogic被爆存在Java反序列化漏洞(CVE-2017-3248)修复方案绕过风险被攻击者利用可造成服务器被入侵和业务数据被窃取近日腾讯云安全中心情报侧监控到部分客户仍存在此风险,特此公告通知。

        该漏洞风险等级,为保证您的服务器安全,腾讯云安全中心建议您及时开展安全自查并开展漏洞修复工作,详细参见如下指引说明:

【漏洞概述】
        当用户提交一个精心构造的恶意的序列化数据到服务器端时,由于Oracle WebLogic在反序列化时存在漏洞,可导致远程任意代码执行漏洞,由于Oracle官方早期提供的修复方法为黑名单方式,但当出现新的类调用时,可绕过黑名单限制。

【风险等级】
高风险

【漏洞风险】
服务器被入侵,被攻击者利用可导致任意代码执行;

【影响版本】
OracleWebLogic 10.3.6.0, 12.1.3.0, 12.2.1.0, 12.2.1.1

【漏洞检测】
1)查看您使用版本是否在受影响范围。
2)在1的基础上,查看端口7001是否对外开放。

【修复建议】
1、目前官方已经发布最新修复补丁,您可以参照官网的最新修复方案修复漏洞(官方地址:http://www.oracle.com/technetwork/middleware/weblogic/overview/index.html
1)可更新p25388747_1036_Generic(10.3.6.0.170418)这个官方最新的补丁,除此之外其它补丁均不安全。
2、也可以参见以下几点临时缓解措施修复:
1)升级JDK版本,由于Java在今年一月份以后更新了反序列化防御接口,可以缓解反序列化漏洞的影响。
2)升级WebLogic、删除不需要的页面,清理不安全的第三方库。
3)检查WebLogic端口7001是否开放,若非必须,可配置安全组机器7001出入流量。

【漏洞参考】
1)http://www.cnvd.org.cn/flaw/show/CNVD-2017-00919
2)http://www.oracle.com/technetwork/security-advisory/cpujan2017-2881727.html#AppendixFMW
3)https://mp.weixin.qq.com/s/Ggsl6gGTEiJ1ZuUUWvu4VA
2017/6/25
您需要登录后才可以回帖 登录 | 立即注册
您需要登录后才可以发帖 QQ登录

联系我们|腾讯云平台|积分商城|腾讯云官方论坛    

GMT+8, 2019-4-20 09:29 , Processed in 1.172298 second(s), 30 queries .

Powered by Discuz! X2.5

© 2001-2012 Comsenz Inc.

回顶部