安全通告
关于Oracle WebLogic Server远程代码执行与拒绝服务漏洞的预警通报
发布日期：2025-01-23
[2024]023号
漏洞描述
2025年01月23日监测发现Oracle WebLogic Server远程代码执行与拒绝服务漏洞（CVE-2025-21535/CVE-2025-21549），CVE-2025-21535该漏洞是由于当T3/IIOP协议开启时，未经身份验证的攻击者可以通过T3/IIOP协议向服务器发送特制的请求，可实现在目标系统上执行任意代码，导致服务器被远程接管。CVE-2025-21549漏洞是由于HTTP/2协议的设计缺陷，使得未经身份验证的攻击者可通过向WebLogic Server发送特制的数据包，从而导致服务器宕机或频繁崩溃。
WebLogic 是美国Oracle公司出品的一个application server，可以理解成是一个基于JAVAEE架构的中间件，一种具有EJB支持的完全加载web容器，像我们常见的一些其他中间件还有apache，tomcat，iis等。Oracle WebLogic Server是一款企业级Java应用服务器，用于部署、运行和管理基于Java的Web应用程序和企业应用程序。它广泛应用于企业中间件环境，是Oracle Fusion Middleware技术堆栈的核心组件之一。
漏洞编号
CVE-2025-21535/CVE-2025-21549
漏洞危害
成功利用这一漏洞，攻击者可以构造恶意的请求数据包发送给服务器或向 WebLogic Server 发送海量的请求数据，造成恶意代码在服务器端执行或服务器的网络带宽资源被耗尽，使得攻击者获得服务器的控制权，进而导致服务器上的敏感数据被泄露或导致正常的请求无法传输到服务器，造成拒绝服务等。
漏洞等级
高危
受影响版本
CVE-2025-21535：
Weblogic 12.2.1.4.0
Weblogic 14.1.1.0.0
CVE-2025-21549：
Oracle WebLogic Server 14.1.1.0.0
注：上述为目前Oracle官方仍支持维护的影响范围，10.3.6.0、11.1.1.9、12.1.3.0等多个WebLogic Server版本已停止维护。
修复方案
目前Oracle已发布补丁修复了上述漏洞，请参考官方通告及时下载受影响产品更新补丁，并参照补丁安装包中的readme文件进行安装更新，以保证长期有效的防护。（注：Oracle官方补丁需要用户持有正版软件的许可账号，使用该账号登https://support.oracle.com后，可以下载最新补丁）
https://www.oracle.com/security-alerts/cpujan2025.html
如果用户暂时无法安装更新补丁，可通过下列措施对高危漏洞进行临时防护：
- 限制T3协议访问
可通过控制T3协议的访问来临时阻断针对利用T3协议漏洞的攻击。WebLogic Server提供了名为 weblogic.security.net.ConnectionFilterImpl 的默认连接筛选器，此连接筛选器接受所有传入连接，可通过此连接筛选器配置规则，对T3及T3s协议进行访问控制，详细操作步骤如下：
（1）进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。
（2）在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，参考以下写法，在连接筛选器规则中配置符合企业实际情况的规则：
127.0.0.1 * * allow t3 t3s
本机IP ** allow t3 t3s
允许访问的IP * * allow t3 t3s
* * * deny t3 t3s
连接筛选器规则格式如下：target localAddress localPort action protocols，其中：
target 指定一个或多个要筛选的服务器。
localAddress 可定义服务器的主机地址。(如果指定为一个星号 (*)，则返回的匹配结果将是所有本地 IP 地址。)
localPort 定义服务器正在监听的端口。(如果指定了星号，则匹配返回的结果将是服务器上所有可用的端口)。
action 指定要执行的操作。(值必须为“allow”或“deny”。)
protocols 是要进行匹配的协议名列表。(必须指定下列其中一个协议：http、https、t3、t3s、giop、giops、dcom或ftp) 如果未定义协议，则所有协议都将与一个规则匹配。
（3）保存后若规则未生效，建议重新启动WebLogic服务（重启WebLogic服务会导致业务中断，建议相关人员评估风险后，再进行操作）。以Windows环境为例，重启服务的步骤如下：
①进入域所在目录下的bin目录，在Windows系统中运行stopWebLogic.cmd文件终止WebLogic服务，Linux系统中则运行stopWebLogic.sh文件。
②待终止脚本执行完成后，再运行startWebLogic.cmd或startWebLogic.sh文件启动WebLogic，即可完成WebLogic服务重启。
- 禁用IIOP协议
可通过关闭IIOP协议来阻断针对利用IIOP协议漏洞的攻击，操作如下：
在WebLogic控制台中，选择“服务”->“AdminServer”->“协议”，取消“启用IIOP”的勾选。并重启WebLogic项目，使配置生效。
参考链接
https://www.oracle.com/security-alerts/cpujan2025.html
https://nvd.nist.gov/vuln/detail/CVE-2025-21549
https://nvd.nist.gov/vuln/detail/CVE-2025-21535