Oracle Fusion Middleware WebLogic Server组件访问控制错误漏洞

CNNVD-ID编号	CNNVD-201904-961	CVE编号	CVE-2019-2725
发布时间	2019-04-22	更新时间	2020-08-07
漏洞类型	访问控制错误	漏洞来源	Badcode, Liao Xinxi, Zhiyi Zhang,Badcode of Knownsec 404 Team，Hongwei Pan of Minsheng Banking Corp.，Icematcha of Qianxin Yunying Labs，icez of Tophant Competence Center，Liao Xinxi of NSFOCUS Security Team，Lin Zheng of Minsheng Banking Corp.，Song Keya of Minsheng Banking Corp.，Tianlei Li of Minsheng Banking Corp.，Xu Yuanzhen of Alibaba Cloud Security Team，ZengShuai Hao，Zhiyi Zhang from Codesafe Team of Legendsec at Qi'anxin Group。, Lin Zheng, Song Keya, ZengShuai Hao, and Tianlei Li, Xu Yuanzhen, and Hongwei Pan
危险等级	高危	威胁类型	远程
厂商	N/A

漏洞介绍

Oracle Fusion Middleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功能。WebLogic Server是其中的一个适用于云环境和传统环境的应用服务器组件。

部分版本WebLogic中默认包含的wls9_async_response包，为WebLogicServer提供异步通讯服务。由于该WAR包在反序列化处理输入信息时存在缺陷，攻击者可以发送精心构造的恶意HTTP请求，获得目标服务器的权限，在未授权的情况下远程执行命令。

目前厂商已发布升级了Oracle Fusion Middleware WebLogic Server组件访问控制错误漏洞的补丁，Oracle Fusion Middleware WebLogic Server组件访问控制错误漏洞的补丁获取链接：

https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2725-5466295.html

暂无