WebSphere遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-4450的通告是怎樣的

今天就跟大家聊聊有關(guān)WebSphere遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-4450的通告是怎樣的，可能很多人都不太了解，為了讓大家更加了解，小編給大家總結(jié)了以下內(nèi)容，希望大家根據(jù)這篇文章可以有所收獲。

0x00 漏洞背景

2020 年 06 月 08 日，360CERT監(jiān)測到 IBM官方發(fā)布了 WebSphere遠(yuǎn)程代碼執(zhí)行 的風(fēng)險(xiǎn)通告，該漏洞編號(hào)為 CVE-2020-4450，漏洞等級(jí)：高危。

WebSphere Application Server 是一款由IBM 公司開發(fā)的高性能的Java 中間件服務(wù)器，可用于構(gòu)建、運(yùn)行、集成、保護(hù)和管理部署的動(dòng)態(tài)云和Web 應(yīng)用。它不僅能夠確保高性能和靈活性，還提供多種開放標(biāo)準(zhǔn)編程模型選項(xiàng)，旨在最大程度提高開發(fā)人員的生產(chǎn)力。

此漏洞由IIOP協(xié)議上的反序列化造成，未經(jīng)身份認(rèn)證的攻擊者可以通過IIOP協(xié)議遠(yuǎn)程攻擊WebSphere Application Server，在目標(biāo)服務(wù)端執(zhí)行任意代碼，獲取系統(tǒng)權(quán)限，進(jìn)而接管服務(wù)器。

對(duì)此，360CERT建議廣大用戶及時(shí)安裝最新補(bǔ)丁，做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。

0x01 風(fēng)險(xiǎn)等級(jí)

360CERT對(duì)該漏洞的評(píng)定結(jié)果如下

0x02 漏洞詳情

此漏洞由IIOP協(xié)議上的反序列化造成，未經(jīng)身份認(rèn)證的攻擊者可以通過IIOP協(xié)議遠(yuǎn)程攻擊WebSphere Application Server，在目標(biāo)服務(wù)端執(zhí)行任意代碼，獲取系統(tǒng)權(quán)限，進(jìn)而接管服務(wù)器

0x03 影響版本

• WebSphere Application Server: 9.0.0.0 to 9.0.5.4

• WebSphere Application Server: 8.5.0.0 to 8.5.5.17

• WebSphere Application Server: 8.0.0.0 to 8.0.0.15

• WebSphere Application Server: 7.0.0.0 to 7.0.0.45

0x04 修復(fù)建議

通用修補(bǔ)建議：

WebSphere Application Server 9.0.0.0 - 9.0.5.4: 更新安全補(bǔ)丁PH25074
WebSphere Application Server 8.5.0.0 - 8.5.5.17: 更新安全補(bǔ)丁PH25074
WebSphere Application Server 8.0.0.0 - 8.0.0.15: 升級(jí)至8.0.0.15 版本，并安裝補(bǔ)丁PH25074
WebSphere Application Server 7.0.0.0 - 7.0.0.45: 升級(jí)至7.0.0.45版本，并安裝補(bǔ)丁PH25074

補(bǔ)丁下載鏈接：
https://www.ibm.com/support/pages/node/6220276

0x05 相關(guān)空間測繪數(shù)據(jù)

360安全大腦-Quake網(wǎng)絡(luò)空間測繪系統(tǒng)通過對(duì)全網(wǎng)資產(chǎn)測繪，發(fā)現(xiàn)WebSphere在全球均有廣泛使用，具體分布如下圖所示。

0x06 產(chǎn)品側(cè)解決方案

360城市級(jí)網(wǎng)絡(luò)安全監(jiān)測服務(wù)

360安全大腦的QUAKE資產(chǎn)測繪平臺(tái)通過資產(chǎn)測繪技術(shù)手段，對(duì)該類漏洞進(jìn)行監(jiān)測，請(qǐng)用戶聯(lián)系相關(guān)產(chǎn)品區(qū)域負(fù)責(zé)人獲取對(duì)應(yīng)產(chǎn)品。

看完上述內(nèi)容，你們對(duì)WebSphere遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-4450的通告是怎樣的有進(jìn)一步的了解嗎？如果還想了解更多知識(shí)或者相關(guān)內(nèi)容，請(qǐng)關(guān)注億速云行業(yè)資訊頻道，感謝大家的支持。