内容简介：6月11日，阿里云安全团队发现WebLogic CVE-2019-2725补丁绕过的0day漏洞，并第一时间上报Oracle官方， 6月12日获得Oracle官方确认。由于Oracle尚未发布官方补丁，漏洞细节和真实PoC也未公开，为保障客户的安全性，阿里云Web应用防火墙（WAF）紧急更新规则，已实现对该漏洞的默认防御。WebLogic Server是美国甲骨文（Oracle）公司开发的一款适用于云环境和传统环境的应用服务中间件，被广泛应用于保险、证券、银行等金融领域。此次发现的WebLogic CVE-
6月11日，阿里云安全团队发现WebLogic CVE-2019-2725补丁绕过的0day漏洞，并第一时间上报Oracle官方， 6月12日获得Oracle官方确认。由于Oracle尚未发布官方补丁，漏洞细节和真实PoC也未公开，为保障客户的安全性，阿里云Web应用防火墙（WAF）紧急更新规则，已实现对该漏洞的默认防御。
一、漏洞简介
WebLogic Server是美国甲骨文（Oracle）公司开发的一款适用于云环境和传统环境的应用服务中间件，被广泛应用于保险、证券、银行等金融领域。
此次发现的WebLogic CVE-2019-2725补丁绕过的0day漏洞曾经因为使用HTTP协议，而非T3协议，被黑客利用进行大规模的挖矿等行为。WebLogic 10.X和WebLogic 12.1.3两个版本均受到影响。
鉴于该漏洞的高危严重性，阿里云提醒云上客户高度关注自身业务是否使用WebLogic，是否开放了/_async/ 及 /wls-wsat/的访问路径。另外由于公安部护网期间，请护网客户重点关注。
二、WebLogic Server漏洞发现
阿里云安全团队使用Oracle官方JDK8u211版本，并打了其在4月份提供的CVE-2019-2725的补丁，进行测试，发现了该漏洞的存在。由于WebLogic Server的广泛应用，可见该漏洞影响之大。
漏洞攻击演示
该漏洞利用JDK1.7及以上版本的JDK特性绕过了CVE－2019-2725补丁里对XMLDecoder标签的限制，以下是CVE-2019-2725的补丁针对class标签的过滤。
三、安全建议
由于Oracle官方暂未发布补丁，阿里云安全团队给出如下解决方案：
1.请使用WebLogic Server构建网站的信息系统运营者进行自查，发现存在漏洞后，立即删除受影响的两个war包，并重启WebLogic服务；
2.因为受影响的两个war包覆盖的路由较多，如下图所示，所以建议通过策略禁止 /_async/ 及 /wls-wsat/ 路径的URL访问；
wls-wsat.war的路由
bea_wls9_async_response.war的路由
以上所述就是小编给大家介绍的《预警| WebLogic Server再曝高危0 day漏洞》，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持！
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
iOS编程实战
[美] Rob Napier、[美] Mugunth Kumar / 美团移动 / 人民邮电出版社 / 2014-9 / 79.00元
本书深入介绍iOS 7新特性和新功能，涵盖iOS 7大部分新增特性，包括新的后台操作、Core Bluetooth、UIKit动力学以及TextKit。另外还介绍了如何处理新的扁平化UI，并新增了一章你可能不知道的“小技巧”。如果读者熟练掌握C和C++，读完本书即可创建性能优异的iPhone、iPad和iPod touch应用。 本书主要内容包括： iOS 7新特性和新功能概览； ......一起来看看 《iOS编程实战》 这本书的介绍吧!
XML、JSON 在线转换
在线XML、JSON转换工具
HSV CMYK 转换工具
HSV CMYK互换工具