甲骨文WebLogic Server又传一出现攻击程式码的漏洞，已紧急修补

虽然10月底才以例行性安全更新大规模修补400多个漏洞，但甲骨文昨（2）日再度紧急发布例外安全更新，以修补WebLogic Server Console一个疑似有攻击活动的重大漏洞。

新修补的漏洞编号CVE-2020-14750，位于Oracle Fusion Middleware的WebLogic Server Console元件中。该漏洞允许未授权攻击者传送恶意HTTP经由网络开采而骇入WebLogic。成功的攻击可让远端骇客接管WebLogic Server，而无需使用者账号或密码。本项漏洞被甲骨文描述为“易开采的漏洞”，在CVSS 3.1风险评分中被列为9.8，属于重大风险。

有多家安全厂商通报有攻击程式码出现在多个网站上。美国网络安全暨基础架构安全署（CISA）也对此一漏洞发出安全公告。

最新漏洞影响Oracle WebLogic Server 10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0及14.1.1.0.0版。

甲骨文表示，CVE-2020-14750和也遭到积极锁定的WebLogic Server RCE 漏洞CVE-2020-14882有关。而基于这次漏洞的风险，以及分布广泛的攻击程式码，甲骨文强烈建议用户尽速安装更新软件。

上周被锁定的CVE-2020-14882同样位于Oracle WebLogic Server面对外部网络的Console上。研究人员上周发现，自从有概念验证攻击程式后，网络上针对CVE-2020-14882扫描的流量呈现“满满”的状态，意谓所有IPv4的位址都遭到扫描。不过甲骨文已在10月的季度安全更新中予以修补。