Oracle WebLogic Server 是一个Java应用服务器，它全面实现了J2EE 1.5规范、最新的Web服务标准和最高级的互操作标准。WebLogic Server内核以可执行、可扩展和可靠的方式提供统一的安全、事务和管理服务。
近日，奇安信CERT监测到Oracle WebLogic Server 敏感信息泄露漏洞(CVE-2023-21931)。由于 CVE-2023-21839 漏洞未修补完全，未经身份验证的远程攻击者通过T3/IIOP协议网络访问并破坏易受攻击的WebLogic服务器，低版本JDK下利用此漏洞可能导致远程代码执行，高版本JDK下可能导致敏感信息泄露。奇安信CERT已分析复现此漏洞。鉴于该漏洞在低版本JDK环境下影响较大，建议客户尽快做好自查及防护。
| 漏洞名称 | Oracle WebLogic Server 敏感信息泄露漏洞 | ||
| 公开时间 | 2023-04-19 | 更新时间 | 2023-04-19 |
| CVE编号 | CVE-2023-21931 | 其他编号 | QVD-2023-9423 |
| 威胁类型 | 信息泄露 | 技术类型 | 信息暴露 |
| 厂商 | Oracle | 产品 | WebLogic Server |
| 风险等级 | |||
| 奇安信CERT风险评级 | 风险等级 | ||
| 高危 | 蓝色（一般事件） | ||
| 现时威胁状态 | |||
| POC状态 | EXP状态 | 在野利用状态 | 技术细节状态 |
| 未发现 | 未发现 | 未发现 | 已公开 |
| 漏洞描述 | Oracle WebLogic Server 中存在敏感信息泄露漏洞。由于 CVE-2023-21839 漏洞未修补完全，未经身份验证的远程攻击者通过T3/IIOP协议网络访问并破坏易受攻击的WebLogic服务器，低版本JDK下利用此漏洞可能导致远程代码执行，高版本JDK下可能导致敏感信息泄露。 | ||
| 影响版本 | Oracle WebLogic Server == 10.3.6
Oracle WebLogic Server == 12.1.3 (注：10.3.6及12.1.3 版本目前官方已停止维护) Oracle WebLogic Server == 12.2.1.3.0 Oracle WebLogic Server == 12.2.1.4.0 Oracle WebLogic Server == 14.1.1.0.0 |
||
| 其他受影响组件 | 无 | ||
目前奇安信CERT已成功复现该漏洞，复现截图如下：
威胁评估
| 漏洞名称 | Oracle WebLogic Server 敏感信息泄露漏洞 | |||
| CVE编号 | CVE-2023-21931 | 其他编号 | QVD-2023-9423 | |
| CVSS 3.1评级 | 高危 | CVSS 3.1分数 | 7.5 | |
| CVSS向量 | 访问途径（AV） | 攻击复杂度（AC） | ||
| 网络 | 低 | |||
| 用户认证（Au） | 用户交互（UI） | |||
| 无 | 不需要 | |||
| 影响范围（S） | 机密性影响（C） | |||
| 不改变 | 高 | |||
| 完整性影响（I） | 可用性影响（A） | |||
| 无 | 无 | |||
| 危害描述 | 未授权的远程攻击者可通过T3/IIOP协议网络访问并破坏易受攻击的WebLogic服务器，低版本JDK下利用此漏洞可能导致远程代码执行，高版本JDK下可能导致敏感信息泄露。 | |||
处置建议
目前官方已有可更新补丁，建议受影响用户及时安装补丁，可参考：
https://www.oracle.com/security-alerts/cpuapr2023.html
Oracle WebLogic Server升级方式
1.Oracle WebLogic Server 11g：
bsu.cmd -install -patch_download_dir=C:OracleMiddlewareutilsbsucache_dir -patchlist=3L3H -prod_dir=C:OracleMiddlewarewlserver_10.3
出现以上提示代表补丁安装成功。
2.Oracle WebLogic Server 12c：
使用opatch apply 安装补丁
C:OracleMiddlewareOracle_HomeOPatch>opatch apply 本机补丁地址
注：补丁编号请自行更改为新补丁编号。
若非必须开启，请禁用T3和IIOP协议。
禁用T3、IIOP协议具体操作步骤如下：
1.禁用T3:
进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。
在连接筛选器中输入：WebLogic.security.net.ConnectionFilterImpl，参考以下写法，在连接筛选器规则中配置符合企业实际情况的规则：
127.0.0.1* * allow t3 t3s本机IP* * allow t3 t3s允许访问的IP* * allow t3 t3s* * * deny t3 t3s
连接筛选器规则格式如下：target localAddress localPort action protocols，其中：
target 指定一个或多个要筛选的服务器。
localAddress 可定义服务器的主机地址。(如果指定为一个星号 (*)，则返回的匹配结果将是所有本地 IP 地址。)
localPort 定义服务器正在监听的端口。(如果指定了星号，则匹配返回的结果将是服务器上所有可用的端口)。
action 指定要执行的操作。(值必须为“allow”或“deny”。)
protocols 是要进行匹配的协议名列表。(必须指定下列其中一个协议：http、https、t3、t3s、giop、giops、dcom 或 ftp。) 如果未定义协议，则所有协议都将与一个规则匹配。
保存后若规则未生效，建议重新启动WebLogic服务（重启WebLogic服务会导致业务中断，建议相关人员评估风险后，再进行操作）。以Windows环境为例，重启服务的步骤如下：
进入域所在目录下的bin目录，在Windows系统中运行stopWebLogic.cmd文件终止WebLogic服务，Linux系统中则运行stopWebLogic.sh文件。
待终止脚本执行完成后，再运行startWebLogic.cmd或startWebLogic.sh文件启动WebLogic，即可完成WebLogic服务重启。
2.禁用IIOP：
用户可通过关闭IIOP协议阻断针对利用IIOP协议漏洞的攻击，操作如下：
在WebLogic控制台中，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选。并重启WebLogic项目，使配置生效。
参考资料
[1]https://www.oracle.com/security-alerts/cpuapr2023.html
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表GetTrust立场，转载目的在于传递更多信息。如有侵权，请联系删除。
相关推荐: 《限制信息通信技术安全威胁出现的法案》提出背景及其前景分析
【编者按】2023年3月7日，美国民主党参议员马克·华纳（R-Mark Warner）领衔十余位两党议员提交了《限制信息通信技术安全威胁出现的法案》（Restricting the Emergence of Security Threats that Risk…