安全通告

Oracle多个高危漏洞安全风险通告

发布日期：2021-10-20

漏洞描述

2021年10月20日，监测发现Oracle官方发布了2021年10月份的风险通告，此次安全更新发布了419个漏洞补丁，其中 CVE-2021-35617（Oracle WebLogic Server远程代码执行漏洞）影响较为严重。

对此，建议广大用户及时将Oracle产品升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

漏洞编号

CVE-2021-35617、CVE-2021-35620等

漏洞危害

CVE-2021-35617: Oracle WebLogic Server远程代码执行漏洞

攻击者可以在未授权的情况下通过IIOP协议对存在漏洞的Oracle WebLogic Server组件进行攻击。成功利用该漏洞的攻击者可以接管Oracle WebLogic Server。

CVE-2021-35620: Oracle WebLogic Server拒绝服务漏洞

该漏洞允许未经身份验证的攻击者通过 T3 协议访问来破坏Oracle WebLogic Server。成功利用此漏洞将会导致Oracle WebLogic Server 服务挂起或重复崩溃（DOS）。

漏洞等级

高危
受影响版本

修复方案

由于成功攻击会带来威胁，强烈建议客户尽快应用重要补丁更新安全补丁。在您应用重要补丁更新补丁之前，可以通过阻止攻击所需的网络协议来降低成功攻击的风险。对于需要某些特权或访问某些包的攻击，从不需要特权的用户那里删除特权或访问包的能力可能有助于降低成功攻击的风险。这两种方法都可能破坏应用程序的功能，因此强烈建议客户在非生产系统上测试更改。这两种方法都不应被视为长期解决方案，因为它们都不能纠正根本问题。

参考链接

1. https://www.oracle.com/security-alerts/cpujul2021.html
2. https://www.oracle.com/security-alerts/cpuoct2021.html