BDU:2019-01748 (CVE-2019-2725)

Уязвимость компонентов WLS9_ASYNC и WLS-WSAT сервера приложений Oracle WebLogic Server, позволяющая нарушителю выполнить произвольный код и перехватить контроль над целевой системой

Опубликовано: 2019-05-07

Описание

Уязвимость компонентов WLS9_ASYNC и WLS-WSAT сервера приложений Oracle WebLogic Server связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и перехватить контроль над целевой системой путем отправки специально сформированного HTTP-запроса

Затрагиваемое ПО и версии

WebLogic Server (10.3.6.0)WebLogic Server (12.1.3.0)

Способ устранения

Использование рекомендаций производителя:
https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://www.securitylab.ru/news/498923.php https://www.zdnet.com/article/new-oracle-weblogic-zero-day-discovered-in-the-wild/https://xakep.ru/2019/04/29/weblogic-rce-patch/https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2725-5466295.html https://www.exploit-db.com/exploits/46780 https://www.waratek.com/new-weblogic-zero-day-rce-vulnerability/

Проверьте безопасность своего сайта и почты → Полная проверка домена