【高危】- Oracle多个产品高危漏洞安全风险通告
■ 漏洞描述
2020年4月15日星期三，Oracle公司发布第二季度关键补丁更新公告 Critical Patch Update - April 2020。
漏洞编号：CVE-2020-2829、CVE-2020-2798、CVE-2020-2963、CVE-2020-2915、CVE-2020-2801、CVE-2020-2884、CVE-2020-2949
CVE-2020-2829
Oracle WebLogic Server的管理服务存在漏洞，该漏洞影响10.3.6.0.0版本，成功利用此漏洞的高权限攻击者可对关键数据进行未授权访问或拥有所有Oracle WebLogic Server可访问数据的完全访问权限。
CVE-2020-2798
Oracle WebLogic Server的WLS Web服务存在漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。拥有高权限的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可接管Oracle WebLogic Server。
CVE-2020-2963
Oracle WebLogic Server的Web服务存在漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。拥有高权限的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可接管Oracle WebLogic Server。
CVE-2020-2915
Oracle Coherence存在MVEL表达式注入漏洞，受此漏洞影响的版本包括3.7.1.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可接管Oracle Coherence。
CVE-2020-2801
Oracle WebLogic Server核心组件存在T3反序列化漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。该漏洞允许未经身份验证的攻击者通过T3进行网络访问，未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可能接管Oracle WebLogic Server。
CVE-2020-2884
Oracle WebLogic Server核心组件存在T3反序列化漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可能会接管Oracle WebLogic Server。
CVE-2020-2949
Oracle Coherence产品中存在漏洞，受此漏洞影响的版本包括3.7.1.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。未经身份验证的攻击者可通过精心构造的HTTP请求来利用此漏洞，成功利用此漏洞的攻击者可执行任意代码。 CVE-2020-2883
Oracle Coherence组件存在高危漏洞，未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可能接管Oracle WebLogic Server。
■ 影响范围
CVE-2020-2829：
Oracle WebLogic Server 10.3.6.0.0
CVE-2020-2798：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2963：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2915：
Oracle Coherence 3.7.1.0
Oracle Coherence 12.1.3.0.0
Oracle Coherence 12.2.1.3.0
Oracle Coherence 12.2.1.4.0
CVE-2020-2801：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2884：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2949：
Oracle Coherence 3.7.1.0
Oracle Coherence 12.1.3.0.0
Oracle Coherence 12.2.1.3.0
Oracle Coherence 12.2.1.4.0
CVE-2020-2883：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
■ 漏洞检测
1、检测方法：查看系统版本。
■ 漏洞修复
补丁更新：https://www.oracle.com/security-alerts/cpuapr2020.html
■ 临时修复
1、限制ip访问
■ 漏洞详情
https://www.oracle.com/security-alerts/cpuapr2020.html
2020年4月15日星期三，Oracle公司发布第二季度关键补丁更新公告 Critical Patch Update - April 2020。
漏洞编号：CVE-2020-2829、CVE-2020-2798、CVE-2020-2963、CVE-2020-2915、CVE-2020-2801、CVE-2020-2884、CVE-2020-2949
CVE-2020-2829
Oracle WebLogic Server的管理服务存在漏洞，该漏洞影响10.3.6.0.0版本，成功利用此漏洞的高权限攻击者可对关键数据进行未授权访问或拥有所有Oracle WebLogic Server可访问数据的完全访问权限。
CVE-2020-2798
Oracle WebLogic Server的WLS Web服务存在漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。拥有高权限的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可接管Oracle WebLogic Server。
CVE-2020-2963
Oracle WebLogic Server的Web服务存在漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。拥有高权限的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可接管Oracle WebLogic Server。
CVE-2020-2915
Oracle Coherence存在MVEL表达式注入漏洞，受此漏洞影响的版本包括3.7.1.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可接管Oracle Coherence。
CVE-2020-2801
Oracle WebLogic Server核心组件存在T3反序列化漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。该漏洞允许未经身份验证的攻击者通过T3进行网络访问，未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可能接管Oracle WebLogic Server。
CVE-2020-2884
Oracle WebLogic Server核心组件存在T3反序列化漏洞，受此漏洞影响的版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可能会接管Oracle WebLogic Server。
CVE-2020-2949
Oracle Coherence产品中存在漏洞，受此漏洞影响的版本包括3.7.1.0、12.1.3.0.0、12.2.1.3.0和12.2.1.4.0。未经身份验证的攻击者可通过精心构造的HTTP请求来利用此漏洞，成功利用此漏洞的攻击者可执行任意代码。 CVE-2020-2883
Oracle Coherence组件存在高危漏洞，未经身份验证的攻击者可通过精心构造的T3请求来利用此漏洞，成功利用此漏洞的攻击者可能接管Oracle WebLogic Server。
■ 影响范围
CVE-2020-2829：
Oracle WebLogic Server 10.3.6.0.0
CVE-2020-2798：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2963：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2915：
Oracle Coherence 3.7.1.0
Oracle Coherence 12.1.3.0.0
Oracle Coherence 12.2.1.3.0
Oracle Coherence 12.2.1.4.0
CVE-2020-2801：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2884：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
CVE-2020-2949：
Oracle Coherence 3.7.1.0
Oracle Coherence 12.1.3.0.0
Oracle Coherence 12.2.1.3.0
Oracle Coherence 12.2.1.4.0
CVE-2020-2883：
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.2.1.4.0
■ 漏洞检测
1、检测方法：查看系统版本。
■ 漏洞修复
补丁更新：https://www.oracle.com/security-alerts/cpuapr2020.html
■ 临时修复
1、限制ip访问
■ 漏洞详情
https://www.oracle.com/security-alerts/cpuapr2020.html