Oracle 刚刚（2020-11-2）发布了一个关于 WebLogic 中间件的新的安全预警，这个安全警报涉及CVE-2020-14750，即Oracle WebLogic Server中的远程代码执行漏洞。
该漏洞与CVE-2020-14882相关，CVE-2020-14882已在2020年10月的关键补丁更新中得到解决。它可以在没有验证的情况下远程利用，即可以在不需要用户名和密码的情况下通过网络进行利用。
由于该漏洞的严重性以及各种网站上发布的漏洞代码，甲骨文强烈建议客户尽快应用本安全警报提供的更新。
影响版本包括：
Oracle WebLogic Server, versions 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0
本安全警报包含 1 个针对 Oracle Fusion Middleware 的新安全补丁。 此漏洞可在没有验证的情况下远程利用，即在不需要用户凭证的情况下通过网络进行利用。
Oracle融合中间件产品包括受Oracle数据库部分所列漏洞影响的Oracle数据库组件。Oracle融合中间件产品的暴露程度取决于所使用的Oracle数据库版本。Oracle数据库安全更新没有列在Oracle融合中间件风险矩阵中。但是，由于影响 Oracle 数据库版本的漏洞可能会影响 Oracle Fusion Middleware 产品，因此 Oracle 建议客户将安全警报 CVE-2020-14750 应用于 Oracle Fusion Middleware 产品的 Oracle 数据库组件。
以下是 CVE-2020-14750 的详细信息，9.8的危险评分，攻击复杂性低，强烈建议用户应用补丁：
| CVE# | Product | Component | Protocol | Remote Exploit without Auth.? |
CVSS VERSION 3.1 RISK (see Risk Matrix Definitions) | Supported Versions Affected | Notes | ||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Base Score |
Attack Vector |
Attack Complex |
Privs Req'd |
User Interact |
Scope | Confid- entiality |
Inte- grity |
Avail- ability |
|||||||
| CVE-2020-14750 | Oracle WebLogic Server | Console | HTTP | Yes | 9.8 | Network | Low | None | None | Un- changed |
High | High | High | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | |
原文参考链接。
