【漏洞通告】Oracle 1月多個安全漏洞
發布時間 2021-01-200x00 漏洞概述
2021年01月19日，Oracle發布了1月份的安全更新，本次發布的安全更新共計329個，涉及Oracle E-Business Suite、Fusion Middleware、MySQL、Database、Java SE、Oracle Construction and Engineering Suite等多個產品和組件。
0x01 漏洞詳情
部分漏洞列表如下：
Oracle E-Business Suite
CVE | 產品 | 組件 | CVSS評分 | 嚴重程度 | 影響范圍 |
CVE-2021-2029 | Oracle Scripting | Miscellaneous | 9.8 | 嚴重 | 12.1.1-12.1.3, 12.2.3-12.2.8 |
CVE-2021-2100 | Oracle One-to-One Fulfillment | Print Server | 9.1 | 嚴重 | 12.1.1-12.1.3, 12.2.3-12.2.10 |
CVE-2021-2101 | Oracle One-to-One Fulfillment | Print Server | 9.1 | 嚴重 | 12.1.1-12.1.3, 12.2.3-12.2.10 |
Oracle Fusion Middleware
CVE | 產品 | 組件 | CVSS評分 | 嚴重程度 | 影響范圍 |
CVE-2021-1994 | Oracle WebLogic Server | Web Services | 9.8 | 嚴重 | 10.3.6.0.0, 12.1.3.0.0 |
CVE-2021-2047 | Oracle WebLogic Server | Core Components | 9.8 | 嚴重 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2021-2064 | Oracle WebLogic Server | Core Components | 9.8 | 嚴重 | 12.1.3.0.0 |
CVE-2021-2108 | Oracle WebLogic Server | Core Components | 9.8 | 嚴重 | 12.1.3.0.0 |
CVE-2021-2075 | Oracle WebLogic Server | Samples | 9.8 | 嚴重 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2021-2109 | Oracle WebLogic Server | Console | 7.2 | 高危 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 |
CVE-2019-17195 | Oracle WebLogic Server | Core Components (Connect2id Nimbus JOSE+JWT) | 9.8 | 嚴重 | 12.2.1.3.0, 12.2.1.4.0 |
CVE-2019-10086 | Oracle WebLogic Server | Console (Apache Commons Beanutils) | 7.3 | 高危 | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 |
Oracle MySQL
CVE | 產品 | 組件 | CVSS評分 | 嚴重程度 | 影響范圍 |
CVE-2021-2046 | MySQL Server | Server: Stored Procedure | 6.8 | 中危 | 8.0.22 and prior |
CVE-2021-2020 | MySQL Server | Server: Optimizer | 6.5 | 中危 | 8.0.20 and prior |
CVE-2021-2024 | MySQL Server | Server: Optimizer | 6.5 | 中危 | 8.0.22 and prior |
WebLogic Server反序列化漏洞（CVE-2021-1994、CVE-2021-2047、CVE-2021-2064、CVE-2021-2108、CVE-2021-2075、CVE-2019-17195和CVE-2019-10086）
這些漏洞是Weblogic中的多個反序列化漏。攻擊者可以通過HTTP、IIOP、T3協議發送惡意請求來利用此漏洞，成功利用此漏洞的攻擊者最終可以控制WebLogic Server或遠程執行代碼。
WebLogic Server遠程代碼執行漏洞（CVE-2021-2109）
該漏洞存在于WebLogic Server的console中，其CVSS評分7.2。攻擊者可以通過JNDI注入攻擊來遠程執行命令或代碼。
影響范圍
10.3.6.0.0
12.1.3.0.0
12.2.1.3.0
12.2.1.4.0
14.1.1.0.0
0x02 處置建議
建議參考Oracle官方發布的安全公告升級至最新版本。
臨時措施
禁用T3協議
具體操作：
1）進入WebLogic控制臺，在base_domain的配置頁面中，進入“安全”選項卡頁面，點擊“篩選器”，進入連接篩選器配置。
2)在連接篩選器中輸入：weblogic.security.net.ConnectionFilterImpl，在連接篩選器規則中輸入：127.0.0.1 * * allow t3t3s，0.0.0.0/0 * *deny t3 t3s(t3和t3s協議的所有端口只允許本地訪問)。
3）保存后需重新啟動，規則方可生效。
禁用IIOP協議
登陸WebLogic控制臺，base_domain >服務器概要 >AdminServer
0x03 參考鏈接
https://www.oracle.com/security-alerts/cpujan2021.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-1994
0x04 時間線
2021-01-19 Oracle發布安全更新
2021-01-20 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號