Oracle WebLogic Server修复CVE-2024-21216等漏洞

摘要

Oracle官方近日发布2024年10月更新，以修复CVE-2024-21216、CVE-2024-21274、CVE-2024-21215、CVE-2024-21234等漏洞。

Oracle WebLogic Server 是一个统一的可扩展平台，专用于开发、部署和运行 Java 应用等适用于本地环境和云环境的企业应用。

Oracle WebLogic Server 是美国软件服务商Oracle开发的企业级应用服务器，商业市场主要Java（J2EE）应用服务器软件之一。

一、基本情况

Oracle WebLogic Server 已全面实现J2EE 1.5规范、最新的Web服务标准和最高级的互操作标准，并且延伸出多款中间服务软件。

Oracle官方近日发布2024年10月更新，以修复CVE-2024-21216、CVE-2024-21274、CVE-2024-21215、CVE-2024-21234等漏洞。

据悉，Oracle 官方近期发布的10月安全更新共包含334个新安全补丁，涉及 Oracle产品以及其产品中包含的第三方组件中的漏洞。

二、漏洞分析

Oracle 官方近期发布2024年10月关键安全补丁集合更新CPU（Critical Patch Update），这些补丁集合中共包含334个安全补丁。

本次更新中攻击包含32个针对Oracle融合中间件的新安全补丁用于修复其产品漏洞，其中25个漏洞无需身份验证即可被远程利用。

Oracle WebLogic Server修复CVE-2024-21216等漏洞

本次修复CVE-2024-21216、CVE-2024-21274、CVE-2024-21215、CVE-2024-21234、CVE-2024-21260、CVE-2024-5535等漏洞。

其中Oracle WebLogic Server T3/IIOP 远程命令执行漏洞和Oracle WebLogic Server T3/IIOP未授权数据访问漏洞的影响相对较大。

CVE-2024-21215：Oracle WebLogic Server拒绝服务漏洞

CVE-2024-21215是Oracle WebLogic Server 产品（组件：Core）中存在的拒绝服务漏洞，该漏洞的CVSS评分为7.5，影响严重。

未经身份验证攻击者通过HTTP进行网络访问破坏Oracle WebLogic Server，可能导致挂起或频繁重复崩溃，从而造成拒绝服务。

CVE-2024-21216：Oracle WebLogic Server远程代码执行漏洞

CVE-2024-21216是Oracle WebLogic Server 产品（组件：Core）中存在的反序列化漏洞，该漏洞的CVSS评分为9.8，影响严重。

未经身份验证的攻击者可以使用T3、IIOP协议向服务器发送特制请求，利用该漏洞远程执行任意代码，从而达到控制服务器目的。

CVE-2024-21234：Oracle WebLogic Server未授权访问漏洞

CVE-2024-21234是Oracle WebLogic Server 产品（组件：Core）中存在的未授权访问漏洞，该漏洞的CVSS评分为7.5，影响严重。

未经身份验证的攻击者通过 T3、IIOP 进行网络访问破坏，可能导致对关键数据的未授权的访问或对所有可访问数据的完全访问。

CVE-2024-21260：Oracle WebLogic Server拒绝服务漏洞

CVE-2024-21260是Oracle WebLogic Server 产品（组件：Core）中存在的拒绝服务漏洞，该漏洞的CVSS评分为7.5，影响严重。

未经身份验证攻击者通过T3、IIOP进行网络访问破坏，可能导致Oracle WebLogic Server挂起或频繁重复崩溃从而造成拒绝服务。

CVE-2024-21274：Oracle WebLogic Server拒绝服务漏洞

CVE-2024-21274是Oracle WebLogic Server 产品（组件：Console）中存在的拒绝服务漏洞，该漏洞CVSS评分7.5，影响严重。

未经身份验证的攻击者通过HTTP进行网络访问破坏，可能导致Oracle WebLogic Server挂起或频繁重复崩溃从而造成拒绝服务。

CVE-2024-21272：MySQL Server Connectors低权限漏洞

CVE-2024-21272是MySQL Connectors 产品（组件：Connector/Python）中存在的漏洞，该漏洞的CVSS评分7.5，影响较严重。

难以利用的漏洞允许低权限的攻击者通过多种协议进行网络访问来破坏MySQL连接器，成功利用可能导致 MySQL 连接器被接管。

CVE-2024-5535：MySQL Server Connectors低权限漏洞

CVE-2024-5535是MySQL Connectors产品（组件：Connector/ C++ (OpenSSL)）漏洞，CVSS评分9.1，现已被归类为低严重性。

该漏洞的发现归功于Joseph Birr-Pixton，原则上属于OpenSSL中发现了一个新漏洞，允许攻击者造成数据隐私泄露和拒绝服务。

由于缓冲区读取过多造成的，可导致程序故障或崩溃，允许将内存中最多 XNUMX 字节任意私有数据发送到对等方导致机密泄露。

三、漏洞影响

Oracle WebLogic Server <=12.2.1.4.0

Oracle WebLogic Server <=14.1.1.0.0

Oracle MySQL Server <= 8.0.39

Oracle MySQL Server <= 8.4.2

Oracle MySQL Server <= 9.0.1

四、修复建议

目前 Oracle 已经发布了相关漏洞的补丁集合，受影响用户需要及时更新。