Oracle官方发布Oracle WebLogic Server远程代码执行漏洞的安全更新

2020年7月15日，我国网络安全企业腾讯公司发布报告称，美国的软件公司“Oracle”官方发布了Oracle WebLogic Server远程代码执行漏洞(CVE-2020-14645)的安全更新。 WebLogic是Oracle公司出品的用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器，应用较为广泛。攻击者可以通过T3/IIOP协议利用CVE-2020-14645漏洞实现远程代码执行操作，从而实现控制服务器的目的。该漏洞会影响Oracle WebLogic Server 12.2.1.4版本的服务器，目前约有10万余个WebLogic在公网开放，我国约有2万余个，由于T3/IIOP协议是默认开启的，所以其中部分用户没有禁用T3协议。用户可以通过https://www[.]oracle.com/security-alerts/cpujul2020.html安装安全补丁。 CVE-2020-14645漏洞利用复杂度低，可能造成的威胁较高，预计攻击者将很快利用该漏洞发动网络攻击，建议我国用户采取以下措施予以防范，一是安装官方安全补丁；二是检查WebLogic版本信息；三是除非必要情况，禁用T3/IIOP协议。