安全研究 SECURITY SERVICE

WebLogic最新远程命令执行漏洞（CVE-2020-2546、CVE-2020-2551）

发布时间: 2020-01-17
来源:
浏览数: 113

  漏洞描述  


北京时间2020年1月15日，Oracle发布2020年1月关键补丁更新（Critical Patch Update，简称CPU），此次更新修复了333个危害程度不同的安全漏洞。其中196个漏洞可被远程未经身份认证的攻击者利用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个产品。Oracle强烈建议客户尽快应用关键补丁更新修复程序，对漏洞进行修复。


此次发布的补丁，修复了Weblogic的两个高危漏洞（CVE-2020-2546、CVE-2020-2551）。


   漏洞编号   


CVE-2020-2551

CVE-2020-2546


   漏洞等级   


高 危


   受影响版本  


CVE-2020-2551

  • 10.3.6.0.0

  • 12.1.3.0.0

  • 12.2.1.3.0

  • 12.2.1.4.0


CVE-2020-2546

  • 10.3.6.0.0

  • 12.1.3.0.0


   修复建议   


  • CVE-2020-2546


用户可通过禁用T3协议，对此漏洞进行临时缓解，具体操作可参考下文

临时禁用T3协议:

（1）进入WebLogic控制台，在base_domain配置页面中，进入安全选项卡页面，点击筛选器，配置筛选器；

（2）在链接筛选器中输入：

weblogic.security.net.ConnectionFilterImpl,在连接筛选器规则框中输入：127.0.0.1 * * allow t3 t3s,0.0.0.0/0 * * deny t3 t3s（t3和t3s协议只允许本地访问）；

（3）保存重启后规则生效。

WebLogic最新远程命令执行漏洞（CVE-2020-2546、CVE-2020-2551）



  • CVE-2020-2551



可通过关闭IIOP协议对此漏洞进行缓解。操作如下：

在Weblogic控制台中，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选。并重启Weblogic项目，使配置生效。


WebLogic最新远程命令执行漏洞（CVE-2020-2546、CVE-2020-2551）


  •   检测方法  

捷普网络脆弱性智能评估系统可检测该漏洞，捷普漏扫用户可升级规则至最新版本。

WebLogic最新远程命令执行漏洞（CVE-2020-2546、CVE-2020-2551）

分享到:
  • 相关推荐 RELATED TO RECOMMEND
  • Phiewer存在不可信的搜索路径漏洞
    点击次数: 12
    2025 - 01 - 20
    Microsoft Office存在跨界内存写漏洞  https://nvd.nist.gov/vuln/detail/CVE-2015-1642 Tenda Ac500_firmware存在命令注入漏洞 https://www.cve.org/CVERecord?id=CVE-2024-3908 Rittal Cmc_iii_firmware存在安全漏洞 https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202303-160 Phiewer存在不可信的搜索路径漏洞 https://nvd.nist.gov/vuln/detail/CVE-2024-53407 Termius存在不可信的搜索路径漏洞 https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202501-2287
  • Adobe多款产品存在越界读取漏洞
    点击次数: 13
    2025 - 01 - 13
    Gnu等厂商的多款产品存在内存泄露漏洞 http://www.openwall.com/lists/oss-security/2023/10/03/6 Moov Signedxml存在密码学签名的验证不恰当漏洞https://nvd.nist.gov/vuln/detail/CVE-2023-34205 Minecraft存在链接跟随漏洞 https://www.minecraft.net/ja-jp/article/minecraft-1-20-pre-release-7 Adobe多款产品存在越界读取漏洞 https://helpx.adobe.com/security/products/acrobat/apsb22-16.html Huawei Cv81-wdm_firmware存在输入验证不恰当漏洞 https://www.cybersecurity-help.cz/vdb/SB2022062015
  • Hp多款产品存在漏洞
    点击次数: 13
    2025 - 01 - 07
    Ashlar Cobalt存在跨界内存写漏洞  https://www.zerodayinitiative.com/advisories/ZDI-24-1729/ Chatplus Chatplusjp存在跨站脚本漏洞 https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202410-3312  Siglent多款产品存在漏洞  https://github.com/BretMcDanel/CVE/blob/main/CVE-2023-25367.md Kbdevice多款产品存在OS命令注入漏洞 https://jvndb.jvn.jp/en/contents/2023/JVNDB-2023-002055.html Hp多款产品存在漏洞 https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202306-838
  • Microsoft多款产品存在漏洞
    点击次数: 15
    2025 - 01 - 02
    Microsoft Edge_chromium存在安全漏洞 https://www.cve.org/CVERecord?id=CVE-2023-36880 Microsoft多款产品存在漏洞 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36558 Microsoft多款产品存在访问控制不恰当漏洞 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36404 Microsoft多款产品存在释放后使用漏洞 https://vigilance.fr/vulnerability/Microsoft-365-Apps-Office-vulnerabilities-of-November-2023-42868 Microsoft多款产品存在整数溢出或超界折返漏洞 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35644
  • Sysaid存在路径遍历漏洞
    点击次数: 13
    2024 - 12 - 23
    Microsoft Torchgeo存在代码注入漏洞 https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202411-1498 Microsoft Pc_manager存在链接跟随漏洞  https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202411-1500 Mayuresh82 Gocast存在OS命令注入漏洞  https://www.cve.org/CVERecord?id=CVE-2024-28892 Apple多款产品存在漏洞  https://www.cve.org/CVERecord?id=CVE-2024-23259 Sysaid存在路径遍历漏洞  https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202311-840
友情连接:
免费服务热线 ree service hotline 400-613-1868 手机端
法律声明 Copyright  西安交大捷普网络科技有限公司  陕ICP备18022218号-1

陕公网安备 61019002000857号
犀牛云提供云计算服务