Weblogic反序列化漏洞(CVE-2020-2798,CVE-2020-2801)
moboyou 2025-04-10 23:04 13 浏览
漏洞概述：
Oracle官方发布4月份安全补丁, 补丁中包含启明星辰ADLab发现并第一时间提交给官方的漏洞，漏洞编号为CVE-2020-2798和CVE-2020-2801。其中，CVE-2020-2798 CVVS评分为7.2分，CVE-2020-2801漏洞等级为高危，CVVS评分为9.8分。CVE-2020-2798和CVE-2020-2801漏洞都与T3协议反序列化有关，利用漏洞攻击者将生成的payload封装在T3协议中，在反序列化过程中实现对存在漏洞的WebLogic组件进行远程任意代码攻击。
漏洞时间轴：
- 2019年12月，ADLab将漏洞详情提交给Oracle官方；
- 2020年1月6日，Oracle官方确认漏洞存在并开始着手修复；
- 2020年4月14日，Oracle官方发布安全补丁。
漏洞影响版本：
Weblogic 10.3.6.0
Weblogic 12.1.3.0
Weblogic 12.2.1.3
Weblogic 12.2.1.4
以上均为官方支持的版本。
漏洞利用：
1、CVE-2020-2798
测试环境：WebLogic Server 10.3.6.0
漏洞利用效果：
2、CVE-2020-2798
测试环境：WebLogic Server 10.3.6.0
漏洞利用效果：
规避方案：
1、升级补丁
https://www.oracle.com/security-alerts/cpuapr2020.html
2、控制T3协议的访问
漏洞产生于Weblogic的T3服务，因此可通过控制T3协议的访问来临时阻断针对漏洞的攻击。当开放Weblogic控制台端口（默认为7001端口）时，T3服务会默认开启。
具体操作：
1）进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。
2）在连接筛选器中输入：
weblogic.security.net.ConnectionFilterImpl，在连接筛选器规则中输入：127.0.0.1 * * allow t3 t3s，0.0.0.0/0 * * deny t3 t3s（t3和t3s协议的所有端口只允许本地访问）。
3）保存后需重新启动，规则方可生效。
*本文作者： ADLab&启明星辰
相关推荐
- cvpr 2024|注意力校准用于解缠结的文本到图像个性化
-
AttentionCalibrationforDisentangledText-to-ImagePersonalization研究背景近年来，大规模文本到图像（T2I）模型取得了显著进展，能...
- 1080P的显示，4K的享受?NVIDIA DSR游戏实测!
-
游戏玩家对画质的要求越来越高，因此每到新一代显卡推出的时候，除了游戏性能的提升之外，也会采用提升画质的新技术。NVIDIA最新的Geforce900系列显卡也不例外，一起推出的DSR技术号称可以在1...
- 「学习OpenCV4」OpenCV线性滤波与非线性滤波总结
-
本文分享内容来自图书《学习OpenCV4：基于Python的算法实战》，该书内容如下：第1章OpenCV快速入门；第2章图像读写模块imgcodecs；第3章核心库模块core；第4章...
- 增益映射耦合局部正则化的图像重构算法
-
朱莉(西安科技大学计算机学院，陕西西安710054)摘要：针对当前的图像重构方法在对多帧超分辨率图像复原时，存在明显的模糊效应与振铃效应的不足，提出增益映射控制耦合局部正则化的图像重构算法。首...
- 图像处理——5种常见的平滑滤波
-
平滑滤波是一种简单又常见的图像处理操作。平滑图像的目的有很多，但通常都是为了减少噪声和伪影。在OpenCV中共有5种平滑滤波操作，分别是以下几种：测试代码如下：#include<iostream...
- C# 图像处理技术——简单的滤波去噪
-
在C#中，可以使用System.Drawing命名空间中的类来进行图像处理和滤波去噪操作。以下是一个示例代码，演示如何使用平均滤波器进行简单的去噪处理：usingSystem.Drawing;us...
- Java，OpenCV，图像模糊，归一化均值滤波，中值滤波器，高斯模糊
-
图像模糊图像模糊是图像处理中最简单和常用的操作之一，其主要目的之一是给图像预处理的时候降低图像噪声。图像模糊方法可以总结如下：1、归一化均值滤波器（API为blur()）2、高斯滤波器（API为Ga...
- 带频偏校准的GMSK解调器设计与实现
-
郑婧怡1，高绍全1，姜汉钧1，张春1，王志华1，2，贾雯2（1.清华大学微电子所，北京100084；2.深圳清华大学研究院，广东深圳518055）摘要：提出了一种在零中频低功耗蓝牙接收机中使用...
- 图像滤波去噪方法及应用场景
-
在图像处理中，不同滤波方法针对不同类型的噪声和场景具有特定优势。以下是三种常见滤波器的特点和应用场景总结：1.高斯滤波（GaussianFilter）原理：基于高斯函数的加权平均，对邻域像素进行平...
- 多体系统动力学仿真软件(DAP)
-
多体系统动力学仿真软件(DAP)-北京西交智众软件科技有限公司–DAP软件简介DAP(DynamicsAnalysisPlatform)软件，源自西南交通大学沈志云院士带队轨道交通运载系统全国...
- 精品博文图文详解Xilinx ISE14.7 安装教程
-
在软件安装之前，得准备好软件安装包，可从Xilinx官网上下载：http://china.xilinx.com/support/download/index.html/content/xilinx/z...
- 酷睿 Ultra 5 和 Ultra 7，或者i5和i7差距多大?
-
#我来唠家常#提到ultra，我觉得看这个题目，应该主打轻薄本，或者设计本。分两个问题看：ultra7或者i7的优势，ultra相对老款处理器的优势Ultra7的最大优势是：多了2个大核心，这两个大...
- 直流-直流(DC-DC)变换电路
-
直流-直流（DC-DC）变换电路，可以将一种直流电源经过变换电路后输出另一种具有不同输出特性的直流电源，可以是一种固定电压或可调电压的直流电。按照电路拓扑结构的不同，DC-DC变换电路可以分成两种形式...
- Energies CL致命错误
-
期刊基础信息·刊号：ISSN1996-1073·全称：Energies·影响因子：3.2·分区：Q2（能源与燃料类）·版面费：2200瑞士法郎·年发文量：约4500篇CoverLett...
- 基于心电脉搏信号的无创血压算法研究
-
洋洋，陈小惠（南京邮电大学自动化学院，江苏南京210023）摘要：针对人体血压无创检测问题，提出了一种基于心电信号（Electrocardiogram，ECG）与光电容积脉搏波（Photople...
- 一周热门
- 最近发表
- 标签列表
-
- curseforge官网网址 (16)
- 外键约束 oracle (36)
- oracle的row number (32)
- 唯一索引 oracle (34)
- oracle in 表变量 (28)
- oracle导出dmp导出 (28)
- oracle 数据导出导入 (16)
- oracle两个表 (20)
- oracle 数据库 使用 (12)
- 启动oracle的监听服务 (13)
- oracle 数据库 字符集 (20)
- powerdesigner oracle (13)
- oracle修改端口 (15)
- 左连接 oracle (15)
- oracle 标准版 (13)
- oracle 转义字符 (14)
- asp 连接 oracle (12)
- oracle安装补丁 (19)
- matlab三维图 (12)
- matlab归一化 (16)
- matlab求解方程 (13)
- matlab坐标轴刻度设置 (12)
- matlab脚本 (14)
- matlab求逆 (12)
- matlab多项式拟合 (13)