Oracle Weblogic versions 10.3.6.0.0, 12.1.3.0.0, 12.2.1.4.0 & 14.1.1.0.0 suffer from a weakness allowing to bypass authentication and to access the management panel due to a bad character management %252e (".") & %252f ("/").

In some cases, exploiting this vulnerability can lead to the execution of arbitrary code on the server.

Oracle proposes the associated patches on its site to fix the vulnerability.

Oracle Weblogic 10.3.6.0.0、12.1.3.0.0、12.2.1.4.0 和 14.1.1.0.0 版受到一個弱點影響，此弱點允許繞過驗證並存取管理面板，這是錯誤的字元管理 %252e (".") 和 %252f ("/") 所導致。

在某些情況下，可以利用此弱點在伺服器上執行任意程式碼。

Oracle 在其網站上建議使用相關修補程式來修正此弱點。

Oracle Weblogic 版本 10.3.6.0.0、12.1.3.0.0、12.2.1.4.0 和 14.1.1.0.0 中存在一个漏洞，可导致绕过身份验证及访问管理面板，这是由于错误字符管理 %252e (".") & %252f ("/") 所致。

在某些情况下，利用此漏洞可导致在服务器上执行任意代码。

Oracle 提议在其站点上使用相关的修补程序以修复漏洞。

Oracle Weblogic バージョン 10.3.6.0.0、12.1.3.0.0、12.2.1.4.0 および 14.1.1.0.0 は、認証をバイパスし、不適切な文字管理 ％252e (「.」) および ％252f (「/」) による管理パネルへのアクセスを可能にする脆弱性の影響を受けます。

場合によっては、この脆弱性を悪用すると、サーバーで任意のコードが実行される可能性があります。

Oracle は、この脆弱性を修正するために、関連するパッチをサイトに提案しています。

The version of WebLogic Server installed on the remote host is affected by multiple vulnerabilities as referenced in the October 2020 CPU advisory.

  - An unspecified vulnerability exists in the Console component. An unauthenticated, remote attacker with     network access via HTTP can exploit this issue to compromise the server. Successful attacks of this     vulnerability can result in takeover of Oracle WebLogic Server. (CVE-2020-14750, CVE-2020-14882)

  - An unspecified vulnerability exists in the Core component. An unauthenticated, remote attacker can exploit     this issue via the IIOP and T3 protocols to compromise the server. Successful attacks of this     vulnerability can result in takeover of Oracle WebLogic Server. (CVE-2020-14859)

  - An unspecified vulnerability exists in the Core component. An unauthenticated, remote attacker can exploit     this issue via the IIOP protocol to compromise the server. Successful attacks of this vulnerability can     result in takeover of Oracle WebLogic Server. (CVE-2020-14841)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートホストにインストールされているWebLogicServerのバージョンは、2020年10月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - コンソールコンポーネントに、詳細不明の脆弱性が存在します。認証されていないリモートの攻撃者がHTTPを介したネットワークアクセスによりこの問題を悪用し、サーバーを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogicサーバーの乗っ取りが発生する可能性があります。 (CVE-2020-14750、CVE-2020-14882 )

  - コアコンポーネントに、詳細不明の脆弱性が存在します。認証されていないリモートの攻撃者が、IIOPおよびT3プロトコルを介してこの問題を悪用し、サーバーを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogicサーバーの乗っ取りが発生する可能性があります。 (CVE-2020-14859 )

  - コアコンポーネントに、詳細不明の脆弱性が存在します。認証されていないリモートの攻撃者が、IIOPプロトコルを介してこの問題を悪用し、サーバーを侵害する可能性があります。この脆弱性への攻撃が成功した場合、Oracle WebLogicサーバーの乗っ取りが発生する可能性があります。 (CVE-2020-14841 )

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Oracle WebLogic Server installed on the remote host is affected by a remote code execution vulnerability in the Oracle Fusion Middleware Console subcomponent. An unauthenticated, remote attacker can exploit this, via a specially crafted HTTP request, to execute arbitrary commands.

No reliable remote exploit has been published for Oracle WebLogic Server 10.3.6.X or 12.1.3.X, so Nessus will not be able to determine if the remote server is affected or not for these versions.

リモートホストにインストールされているOracle WebLogicサーバーのバージョンは、Oracle Fusion Middleware Consoleのサブコンポーネントにおいてリモートコード実行の脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたHTTPリクエストを介して、任意のコマンドを実行する可能性があります。

Oracle WebLogic Server10.3.6.Xまたは12.1.3.Xについて、信ぴょう性のあるリモートの悪用は公開されていないため、Nessusは、リモートサーバーがこれらのバージョンの影響を受けるかどうかを判断できません。

遠端主機上安裝的 WebLogic Server 版本會受到 2020 年 10 月 CPU 公告中提及的多個弱點影響。

  - 主控台元件中存在一個不明弱點。能夠透過 HTTP 存取網路的未經驗證攻擊者可利用此問題入侵伺服器。若成功攻擊此弱點，可導致接管 Oracle WebLogic Server。(CVE-2020-14750、CVE-2020-14882)

  - Core 元件中存在一個不明弱點。未經驗證的遠端攻擊者可以利用此問題，透過 IIOP 和 T3 通訊協定來入侵伺服器。若成功攻擊此弱點，可接管 Oracle WebLogic Server。(CVE-2020-14859)

  - Core 元件中存在一個不明弱點。未經驗證的遠端攻擊者可以利用此問題，透過 IIOP 通訊協定來入侵伺服器。若成功攻擊此弱點，可接管 Oracle WebLogic Server。(CVE-2020-14841)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 WebLogic Server 版本受到 2020 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Console 组件中存在一个不明漏洞。未经身份验证的远程攻击者可以通过 HTTP 访问网络，利用此问题破坏服务器。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。（CVE-2020-14750、CVE-2020-14882）

  - Core 组件中存在一个不明漏洞。未经身份验证的远程攻击者可利用此问题，通过 IIOP 和 T3 协议破坏服务器。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2020-14859)

  - Core 组件中存在一个不明漏洞。未经身份验证的远程攻击者可利用此问题，通过 IIOP 协议破坏服务器。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2020-14841)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

遠端主機上安裝的 Oracle WebLogic Server 版本受到 Oracle Fusion Middleware Console 子元件中一個遠端程式碼執行弱點影響。未經驗證的遠端攻擊者可惡意利用此弱點，透過特製的 HTTP 要求執行任意命令。

尚未針對 Oracle WebLogic Server 10.3.6.X 或 12.1.3.X 發布可靠的遠端攻擊程式，因此 Nessus 無法判斷這些版本的遠端伺服器是否受到影響。

远程主机上安装的 Oracle WebLogic Server 版本受到 Oracle Fusion Middleware Console 子组件中远程代码执行漏洞的影响。未经身份验证的远程攻击者可利用此漏洞，通过特别构建的 HTTP 请求执行任意命令。

尚未发布针对 Oracle WebLogic Server 10.3.6.X 或 12.1.3.X 的可靠远程利用，因此 Nessus 无法确定这些版本的远程服务器是否受到影响。

ID	Name	Product	Family	Published	Updated	Severity
112705	Oracle WebLogic 10.3.6.0.0 / 12.1.3.0.0 / 12.2.1.4.0 / 14.1.1.0.0 Authentication Bypass	Web App Scanning	Component Vulnerability	2/22/2021	2/21/2024	critical
112705	Oracle WebLogic 10.3.6.0.0 / 12.1.3.0.0 / 12.2.1.4.0 / 14.1.1.0.0 驗證繞過	Web App Scanning	Component Vulnerability	2/22/2021	2/21/2024	critical
112705	Oracle WebLogic 10.3.6.0.0/12.1.3.0.0/12.2.1.4.0/14.1.1.0.0 身份验证绕过	Web App Scanning	Component Vulnerability	2/22/2021	2/21/2024	critical
112705	Oracle WebLogic 10.3.6.0.0 / 12.1.3.0.0 / 12.2.1.4.0 / 14.1.1.0.0 の認証バイパス	Web App Scanning	Component Vulnerability	2/22/2021	2/21/2024	critical
141807	Oracle WebLogic Server Multiple Vulnerabilities (Oct 2020 CPU)	Nessus	Misc.	10/22/2020	3/14/2024	critical
141807	Oracle WebLogic Serverの複数の脆弱性 (2020年10月CPU )	Nessus	Misc.	10/22/2020	3/14/2024	critical
142594	Oracle WebLogic Server RCE (CVE-2020-14882)	Nessus	Web Servers	11/6/2020	3/19/2024	critical
142594	Oracle WebLogic ServerのRCE（CVE-2020-14882）	Nessus	Web Servers	11/6/2020	3/19/2024	critical
141807	Oracle WebLogic Server 多個弱點 (2020 年 10 月 CPU)	Nessus	Misc.	10/22/2020	3/14/2024	critical
141807	Oracle WebLogic Server 多个漏洞（2020 年 10 月 CPU）	Nessus	Misc.	10/22/2020	3/14/2024	critical
142594	Oracle WebLogic Server RCE (CVE-2020-14882)	Nessus	Web Servers	11/6/2020	3/19/2024	critical
142594	Oracle WebLogic Server RCE (CVE-2020-14882)	Nessus	Web Servers	11/6/2020	3/19/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical