AG公司云
【威胁通告】Weblogic远程代码执行误差（ CVE-2020-2546、CVE-2020-2551）
2020-01-15
一、概述
北京时间2020年1月15日，Oracle宣布2020年1月要害补丁更新（Critical Patch Update，简称CPU），此次更新修复了333个危害水平差别的清静误差。其中196个误差可被远程未经身份认证的攻击者使用。此次更新涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个产品。Oracle强烈建议客户尽快应用要害补丁更新修复程序，对误差举行修复。
此次宣布的补丁，修复了Weblogic的两个高危误差（CVE-2020-2546、CVE-2020-2551）：
CVE-2020-2546
该误差通过T3协议实现使用、攻击者可通过此误差实现远程代码执行，CVSS评分均为9.8。使用重漂后低。
CVE-2020-2551
该误差可以绕过Oracle官方在2019年10月份宣布的最新清静补丁。攻击者可以通过IIOP协议远程会见Weblogic Server服务器上的远程接口，传入恶意数据，从而获取服务器权限并在未授权情形下远程执行恣意代码。CVSS评分9.8。
IIOP协议以Java接口的形式对远程工具举行会见，默认启用。
参考链接：
https://www.oracle.com/security-alerts/cpujan2020.html
二、影响规模
CVE-2020-2546
受影响版本
- WebLogic Server 10.3.6.0.0
- WebLogic Server 12.1.3.0.0
CVE-2020-2551
受影响版本
- Weblogic Server 10.3.6.0.0
- Weblogic Server 12.1.3.0.0,
- Weblogic Server 12.2.1.3.0
- Weblogic Server 12.2.1.4.0
三、误差防护
请用户参考本文附录“受影响产品及补丁信息”实时下载受影响产品更新补丁，并参照补丁装置包中的readme文件举行装置更新，以包管恒久有用的防护。
注：Oracle官方补丁需要用户持有正版软件的允许账号，使用该账号上岸https://support.oracle.com后，可以下载最新补丁。
此次Oracle官方的CPU，只宣布了12.2.1.4.0版本的修复补丁，其他版本补丁将于2020年1月31日宣布，请相关用户实时关注，在补丁宣布后实时装置修复。
3.1 误差缓解步伐
若用户暂时不可装置最新补丁，可通过下列步伐对误差举行暂时防护：
CVE-2020-2546
用户可通过禁用T3协议，对此误差举行暂时缓解，详细操作可参考下列链接“4.2.2 T3协议会见控制”部分：
https://mp.weixin.qq.com/s/YWTSyEVunQUordwxThrGwA
CVE-2020-2551
可通过关闭IIOP协议对此误差举行缓解。操作如下：
在Weblogic控制台中，选择“服务”->”AdminServer”->”协议”，作废“启用IIOP”的勾选。并重启Weblogic项目，使设置生效。
四、CPU修复误差总结
此次要害补丁更新（CPU）修复的误差涉及Oracle Database Server、Oracle Weblogic Server、Oracle Java SE、Oracle MySQL等多个常用产品。
Oracle官方2020年1月要害补丁更新误差总结如下：
| 产品 | 误差个数 | 未授权远程使用个数 | 最高CVSS评分 |
| Oracle Database server | 12 | 3 | 7.7 |
| Oracle Communications Applications | 21 | 19 | 9.8 |
| Oracle Construction and Engineering Suite | 12 | 8 | 9.8 |
| Oracle E-Business Suite | 23 | 21 | 8.2 |
| Oracle Enterprise Manager Products Suite | 50 | 10 | 9.8 |
| Oracle Financial Services Applications | 24 | 6 | 7.5 |
| Oracle Food and Beverage Applications | 1 | 0 | 4.9 |
| Oracle Fusion Middleware | 38 | 30 | 9.8 |
| Oracle GraalVM Executive | 5 | 3 | 9.8 |
| Oracle Health Sciences Applications | 3 | 3 | 9.8 |
| Oracle Hospitality Applications | 5 | 2 | 7.5 |
| Oracle Hyperion Executive | 2 | 1 | 9.8 |
| Oracle iLearning Executive | 1 | 1 | 4.7 |
| Oracle Java SE | 12 | 12 | 8.1 |
| Oracle JD Edwards | 9 | 9 | 9.8 |
| Oracle MySQL | 19 | 6 | 7.5 |
| Oracle PeopleSoft Products | 15 | 12 | 9.8 |
| Oracle Retail Applications | 24 | 15 | 9.8 |
| Oracle Siebel CRM | 5 | 5 | 9.8 |
| Oracle Sun Systems Products | 18 | 9 | 9.8 |
| Oracle Supply Chain Products Suite | 8 | 8 | 9.6 |
| Oracle Support Tools | 1 | 1 | 6.1 |
| Oracle Utilities Applications | 4 | 4 | 9.8 |
| Oracle Virtualization | 22 | 3 | 8.2 |
声明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。
AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于AG公司科技
北京神州AG公司信息清静科技股份有限公司（简称AG公司科技）建设于2000年4月，总部位于北京。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，AG公司科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
北京神州AG公司信息清静科技股份有限公司于2014年1月29日起在深圳证券生意所创业板上市，股票简称：AG公司科技，股票代码：300369。
