一、漏洞概述
2024 年 4 月 17 日,接厂商漏洞情报得知 Oracle 发布了 4 月安全更新,本次更新共包含 441 个新安全补丁,涉及Oracle 和第三方组件中的漏洞。
此次更新中共包含 51 个针对 Oracle 融合中间件的新安全补丁,其中 35 个漏洞无需身份验证即可被远程利用。
其中影响 Oracle WebLogic Server 和 Oracle MySQL 相关产品的部分漏洞如下:
Oracle WebLogic Server 产品(组件:Core)中存在漏洞,未经身份验证的威胁者可通过 T3、IIOP 进行网络访问来破坏 Oracle WebLogic Server,成功利用可能导致对关键数据的未授权的访问或对所有 Oracle WebLogic Server可访问数据的完全访问,造成敏感信息泄露。
Oracle MySQL 的 MySQL Connectors 产品(组件:Connector/Python)中存在漏洞,可能导致未经身份验证的威胁者通过多种协议进行网络访问来破坏 MySQL 连接器。成功利用可能导致 MySQL 连接器挂起或频繁重复崩溃,从而造成拒绝服务。
Oracle MySQL 的 MySQL Server 产品(组件:Server: DML)中存在漏洞,拥有高权限的威胁者可通过多种协议进行网络访问来破坏 MySQL 服务器。成功利用可能导致 MySQL 服务器挂起或频繁重复崩溃,以及对某些 MySQLServer 可访问数据的未经授权更新、插入或删除访问。
二、影响范围
受影响的部分产品及版本(受支持)包括:
三、安全措施
3.1 升级版本
目前 Oracle 已经发布了相关漏洞的补丁集合,受影响用户可及时更新。
参考链接:
https://www.oracle.com/security-alerts/cpuapr2024.html
3.2 临时措施
如非必要,可以选择禁用 T3 协议、IIOP 协议。禁用 T3 协议
1)进入 WebLogic 控制台,在 base_domain 的配置页面中,进入“安全”选项卡页面,点击“筛选器”,进入连接筛选器配置。
2)在连接筛选器中输入:weblogic.security.net.ConnectionFilterImpl在连接筛选器规则中输入:
127.0.0.1 * * allow t3 t3s
0.0.0.0/0 * *deny t3 t3s (注:t3 和 t3s 协议的所有端口只允许本地访问)。
3)保存后需重新启动,规则方可生效。
3.3 通用建议
定期更新系统补丁,减少系统漏洞,提升服务器的安全性。
加强系统和网络的访问控制,修改防火墙策略,关闭非必要的应用端口或服务,减少将危险服务(如 SSH、RDP等)暴露到公网,减少攻击面。
使用企业级安全产品,提升企业的网络安全性能。
加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。
启用强密码策略并设置为定期修改。
3.4 参考链接
https://www.oracle.com/security-alerts/cpuapr2024.html
https://nvd.nist.gov/vuln/detail/CVE-2024-21006
