【威胁通告】Weblogic远程代码执行漏洞（ CVE-2020-2546、CVE-2020-2551）
2020-01-15
一、概述
北京时间2020年1月15日，Oracle发布2020年1月关键补丁更新（Critical Patch Update，简称CPU），此次更新修复了333个危害程度不同的安全漏洞。其中196个漏洞可被远程未经身份认证的攻击者利用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个产品。Oracle强烈建议客户尽快应用关键补丁更新修复程序，对漏洞进行修复。
此次发布的补丁，修复了Weblogic的两个高危漏洞（CVE-2020-2546、CVE-2020-2551）：
CVE-2020-2546
该漏洞通过T3协议实现利用、攻击者可通过此漏洞实现远程代码执行，CVSS评分均为9.8。利用复杂度低。
CVE-2020-2551
该漏洞可以绕过Oracle官方在2019年10月份发布的最新安全补丁。攻击者可以通过IIOP协议远程访问Weblogic Server服务器上的远程接口，传入恶意数据，从而获取服务器权限并在未授权情况下远程执行任意代码。CVSS评分9.8。
IIOP协议以Java接口的形式对远程对象进行访问，默认启用。
参考链接：
https://www.oracle.com/security-alerts/cpujan2020.html
二、影响范围
CVE-2020-2546
受影响版本
- WebLogic Server 10.3.6.0.0
- WebLogic Server 12.1.3.0.0
CVE-2020-2551
受影响版本
- Weblogic Server 10.3.6.0.0
- Weblogic Server 12.1.3.0.0,
- Weblogic Server 12.2.1.3.0
- Weblogic Server 12.2.1.4.0
三、漏洞防护
请用户参考本文附录“受影响产品及补丁信息”及时下载受影响产品更新补丁，并参照补丁安装包中的readme文件进行安装更新，以保证长期有效的防护。
注：Oracle官方补丁需要用户持有正版软件的许可账号，使用该账号登陆https://support.oracle.com后，可以下载最新补丁。
此次Oracle官方的CPU，只发布了12.2.1.4.0版本的修复补丁，其他版本补丁将于2020年1月31日发布，请相关用户及时关注，在补丁发布后及时安装修复。
3.1 漏洞缓解措施
若用户暂时不能安装最新补丁，可通过下列措施对漏洞进行临时防护：
CVE-2020-2546
用户可通过禁用T3协议，对此漏洞进行临时缓解，具体操作可参考下列链接“4.2.2 T3协议访问控制”部分：
https://mp.weixin.qq.com/s/YWTSyEVunQUordwxThrGwA
CVE-2020-2551
可通过关闭IIOP协议对此漏洞进行缓解。操作如下：
在Weblogic控制台中，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选。并重启Weblogic项目，使配置生效。
四、CPU修复漏洞总结
此次关键补丁更新（CPU）修复的漏洞涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个常用产品。
Oracle官方2020年1月关键补丁更新漏洞总结如下：
| 产品 | 漏洞个数 | 未授权远程利用个数 | 最高CVSS评分 |
| Oracle Database server | 12 | 3 | 7.7 |
| Oracle Communications Applications | 21 | 19 | 9.8 |
| Oracle Construction and Engineering Suite | 12 | 8 | 9.8 |
| Oracle E-Business Suite | 23 | 21 | 8.2 |
| Oracle Enterprise Manager Products Suite | 50 | 10 | 9.8 |
| Oracle Financial Services Applications | 24 | 6 | 7.5 |
| Oracle Food and Beverage Applications | 1 | 0 | 4.9 |
| Oracle Fusion Middleware | 38 | 30 | 9.8 |
| Oracle GraalVM Executive | 5 | 3 | 9.8 |
| Oracle Health Sciences Applications | 3 | 3 | 9.8 |
| Oracle Hospitality Applications | 5 | 2 | 7.5 |
| Oracle Hyperion Executive | 2 | 1 | 9.8 |
| Oracle iLearning Executive | 1 | 1 | 4.7 |
| Oracle Java SE | 12 | 12 | 8.1 |
| Oracle JD Edwards | 9 | 9 | 9.8 |
| Oracle MySQL | 19 | 6 | 7.5 |
| Oracle PeopleSoft Products | 15 | 12 | 9.8 |
| Oracle Retail Applications | 24 | 15 | 9.8 |
| Oracle Siebel CRM | 5 | 5 | 9.8 |
| Oracle Sun Systems Products | 18 | 9 | 9.8 |
| Oracle Supply Chain Products Suite | 8 | 8 | 9.6 |
| Oracle Support Tools | 1 | 1 | 6.1 |
| Oracle Utilities Applications | 4 | 4 | 9.8 |
| Oracle Virtualization | 22 | 3 | 8.2 |
声明
本安全公告仅用来描述可能存在的安全问题，js1996官网登录不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，js1996官网登录以及安全公告作者不为此承担任何责任。
js1996官网登录拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经js1996官网登录允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于js1996官网登录
北京神州金沙js1996信息安全科技股份有限公司（简称js1996官网登录）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，js1996官网登录在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州金沙js1996信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：js1996官网登录，股票代码：300369。
