【WebLogic】Oracle发布2024年第二季度中间件安全公告

Oracle于美国时间2024年4月16日发布了 WebLogic 中间件2024年第二季度的安全公告，涉及漏洞共计 10 个，涉及示例程序的高危漏洞 1 个，中危漏洞中有3个涉及到核心组件（Core）。

此外，Oracle JDK1.8 的小版本号已经升级到了411（1.8.0_411）。

OPatch的最新版本号已经更新为：13.9.4.2.15（p28186730_1394215_Generic）

截至目前，Oracle官方扔提供补丁技术支持的WebLogic中间件大版本还有2个，分别为12c（12.2.1.4.0）、14c（14.1.1.0.0），该两个版本的补丁技术支持日期分别到2025年7月、2028年1月。

附：

I）补丁集信息

Oracle WebLogic 12.2.1.4.0

36468190;FMW Thirdparty Bundle Patch 12.2.1.4.240401
36440005;WLS PATCH SET UPDATE 12.2.1.4.240325
1221421;Coherence Cumulative Patch 12.2.1.4.21
36187017;RDA release 24.2-2024416 for OFM 12.2.1.4 SPB
35965629;ADR FOR WEBLOGIC SERVER 12.2.1.4.0 CPU JAN 2024
33093748;One-off
32720458;JDBC 19.3.0.0 FOR CPUJAN2022 (WLS 12.2.1.4, WLS 14.1.1)

Oracle WebLogic 14.1.1.0.0

36454290;WLS PATCH SET UPDATE 14.1.1.0.240328
36410357;Coherence Cumulative Patch 14.1.1.0.17
36187013;RDA release 24.2-2024416 for OFM 14.1.1 SPB
35965633;ADR FOR WEBLOGIC SERVER 14.1.1.0 CPU JAN 2024
32720458;JDBC 19.3.0.0 FOR CPUJAN2022 (WLS 12.2.1.4, WLS 14.1.1)

II）WebLogic中间件漏洞公告（2024年4月16日）

CVE-ID	产品名称	组件名称	协议	远程利用无需授权	基础分值	攻击媒介	攻击复杂度	用户交互	受影响版本
CVE-2021-23369	Oracle WebLogic Server	Samples (handlebars)	HTTP	是	9.8	网络	低	不需要	12.2.1.4.0 14.1.1.0.0
CVE-2023-5072	Oracle WebLogic Server	Centralized Thirdparty Jars (JSON-java)	HTTP	是	7.5	网络	低	不需要	14.1.1.0.0
CVE-2023-52428	Oracle WebLogic Server	Core (Nimbus JOSE+JWT)	HTTP	是	7.5	网络	低	不需要	12.2.1.4.0 14.1.1.0.0
CVE-2023-44487	Oracle WebLogic Server	Web Container	HTTP/2	是	7.5	网络	低	不需要	14.1.1.0.0
CVE-2024-21006	Oracle WebLogic Server	Core	T3, IIOP	是	7.5	网络	低	不需要	12.2.1.4.0 14.1.1.0.0
CVE-2024-21007	Oracle WebLogic Server	Core	T3, IIOP	是	7.5	网络	低	不需要	12.2.1.4.0 14.1.1.0.0
CVE-2023-2976	Oracle WebLogic Server	WLST (Python)	None	否	7.1	本地	低	不需要	14.1.1.0.0
CVE-2024-23635	Oracle WebLogic Server	Centralized Thirdparty Jars (AntiSamy)	HTTP	是	6.1	网络	低	需要	12.2.1.4.0 14.1.1.0.0
CVE-2024-26308	Oracle WebLogic Server	Centralized Thirdparty Jars (Apache Commons Compress)	None	否	5.5	本地	低	需要	14.1.1.0.0
CVE-2023-33201	Oracle WebLogic Server	Centralized Thirdparty Jars (Bouncy Castle Java Library)	Multiple	是	5.3	网络	低	不需要	12.2.1.4.0 14.1.1.0.0