漏洞分析

组件介绍

WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。

漏洞简介

2021年7月21日，深信服安全团队监测到Orcale官方发布安全补丁的通告，关于WebLogic共修复了9个安全漏洞，其中包含3个严重漏洞的信息。

CVE-2021-2397
攻击者可以在未授权的情况下通过IIOP、T3协议对存在漏洞的WebLogic Server组件进行攻击。成功利用该漏洞的攻击者可以接管WebLogic Server。
CVE-2021-2382
攻击者可以在未授权的情况下通过IIOP、T3协议对存在漏洞的WebLogic Server组件进行攻击。成功利用该漏洞的攻击者可以接管WebLogic Server。
CVE-2021-2394
攻击者可以在未授权的情况下通过IIOP、T3协议对存在漏洞的WebLogic Server组件进行攻击。成功利用该漏洞的攻击者可以接管WebLogic Server。

影响范围

WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。使用该软件的客户主要分布在广东、北京、上海等地。

解决方案

1.如何检测组件系统版本
用户可以通过进入WebLogic安装主目录下的OPatch目录，在此处打开命令行，输入.\opatch lspatches命令，结果如下：

如上图试验设备补丁号为31656851。
2.官方修复建议
当前官方已发布受影响版本的对应补丁，建议受影响的用户及时更新官方的安全补丁。链接如下：
https://www.oracle.com/security-alerts/cpujul2021.html
打补丁/升级方法:
用户可以使用Opatch进行补丁安装，具体安装步骤如下：
（1）进入Oracle\Middleware\Oracle_Home\OPatch路径下，运行opatch.bat脚本

（2）运行opatch apply {WebLogic补丁文件夹}命令进行补丁安装，如下图：

（3）再运行opatch lspatches命令，查看补丁号，确认是否成功安装最新补丁。

注：用户需要使用Oracle官方更新的最新补丁，并且结合自己实际使用的WebLogic Server版本号，选择对应的补丁进行安装。
3.临时修复建议
该临时修复建议存在一定风险，建议用户可根据业务系统特性审慎选择采用临时修复方案：
例如：
1.可通过关闭IIOP协议对此漏洞进行临时防御。操作如下：
在WebLogic控制台中，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选。并重启WebLogic项目，使配置生效。

2.对T3服务进行控制
控制T3服务的方法:

在上图这个WebLogic界面中选择安全-筛选器，在下方出现的界面中找到“连接筛选器”，在里面输入
security.net.ConnectionFilterImpl
然后在连接筛选器规则中输入
127.0.0.1 * * allow t3 t3s，0.0.0.0/0 * * deny t3 t3s
最后保存并重启服务器即可生效。
深信服解决方案
**【深信服下一代防火墙】**可防御（CVE-2021-2397、CVE-2021-2376、CVE-2021-2378、CVE-2021-2382、CVE-2021-2394
CVE-2021-2371、CVE-2021-2344、CVE-2021-2428）等漏洞，建议用户将深信服下一代防火墙开启 IPS防护策略，并更新最新安全防护规则，即可轻松抵御此高危风险。
**【深信服安全感知平台】**结合云端实时热点高危/紧急漏洞信息，可快速检出业务场景下的（CVE-2021-2397、CVE-2021-2376、CVE-2021-2378、CVE-2021-2382、CVE-2021-2394
CVE-2021-2371、CVE-2021-2344、CVE-2021-2428）等漏洞，并可联动【深信服下一代防火墙等产品】实现对攻击者IP的封堵。
**【深信服安全云眼】**预计2021年7月22日，对（CVE-2021-2397、CVE-2021-2376、CVE-2021-2378、CVE-2021-2382、CVE-2021-2394
CVE-2021-2371、CVE-2021-2344、CVE-2021-2428、CVE-2021-2403）等漏洞，完成检测更新，对所有用户网站探测，保障用户安全。不清楚自身业务是否存在漏洞的用户，可注册信服云眼账号，获取30天免费安全体验。
注册地址：http://saas.sangfor.com.cn
**【深信服云镜】**预计2021年7月22日，对（CVE-2021-2397、CVE-2021-2376、CVE-2021-2378、CVE-2021-2382、CVE-2021-2394
CVE-2021-2371、CVE-2021-2344、CVE-2021-2428、CVE-2021-2403）等漏洞完成检测能力的发布，部署了云镜的用户可以通过升级来快速检测网络中是否受该高危风险影响，避免被攻击者利用。离线使用云镜的用户需要下载离线更新包来获得漏洞检测能力，可以连接云端升级的用户可自动获得漏洞检测能力。

时间轴

2021/7/21 深信服监测到Orcale官方发布安全更新公告。
2021/7/21 深信服千里目安全实验室发布漏洞通告和深信服解决方案。