Weblogic核心元件反序列化漏洞修復方案（CVE-2020-14825）

一、漏洞描述

2020年10月20日，Oracle官方網站公佈了的關於WebLogic安全漏 ，其中漏洞風險最高的是weblogic server服務漏洞它對應CVE編號是CVE-2020-14882，WebLogicServer Core元件的安全漏洞對應 CVE編號是CVE-2020-14841和 CVE-2020-14825。這些漏洞需要運維專案中重點關注，漏洞攻擊的目標 是未經身份驗證的攻擊者透過HTTP、IIOP、T3協議傳送惡意請求，從而從weblogic中介軟體服務行程式碼，最終控制目標伺服器，達到攻擊者的目標。
二、漏洞分析

針對weblogic反序列化漏洞,Oracle官網從2020年10月20日關鍵補丁更新開始，Oracle列出瞭解決第三方元件中不可利用的漏洞的更新，這些漏洞包含在其各自的Oracle產品中的產品風險矩陣下。有人試圖惡意利用Oracle已釋出安全修補程式的漏洞進行攻擊。在某些情況下，據報導，攻擊者之所以成功，是因為目標客戶未能應用可用的Oracle補丁程式。因此，Oracle強烈建議客戶繼續使用受支援的版本，並立即應用關鍵補丁更新安全補丁。

三、漏洞級別

CVE對上述風險的綜合評級為“ 高危”。
四、影響範圍

軟體	受影響的版本
weblogic Server	Weblogic Server10.3.6.0.0 Weblogic Server12.1.3.0.0 Weblogic Server12.2.1.3.0 Weblogic Server12.2.1.4.0 Weblogic Server14.1.1.0.0

五、漏洞修復建議

  Oracle官方針對weblogic server軟體對應版本在 2020 年 10 月 20 日已經發布了最新補丁包來修復，建議使用者專案中使用了weblogic軟體的系統進行自查，如有對應漏洞版本還需要及時修復，以免帶來不必要的風險與損失。

Weblogic Server 10.3.6 漏洞修復方法

1、JDK版本升級到JDK 7 u191或最新版本 2、更新weblogic最新PSU補丁包10.3.6.0.201020 補丁下載地址：

Weblogic Server 12.1.3 漏洞修復方法

1、JDK版本升級到JDK 7 u191或最新版本 2、更新weblogic最新PSU補丁包12.1.3.0.201020 補丁下載地址：

Weblogic Server 12.2.1.3 漏洞修復方法

1、JDK版本升級到JDK 8u181或最新版本 2、更新weblogic最新PSU補丁包12.2.1.3.201001 補丁下載地址：

Weblogic Server 12.2.1.4 漏洞修復方法

1、更新weblogic最新PSU補丁包12.2.1.4.201001 補丁下載地址：

Weblogic Server 14.1.1.0 漏洞修復方法

1、更新weblogic最新PSU補丁包14.1.1.0.200930 補丁下載地址：

六、參考資料

https://www.oracle.com/security-alerts/cpuoct2020.html

有需要的朋友可以關注我的公眾號，文章每日一更