0-day Vulnerabilitate în Oracle WebLogic

O componentă Oracle web logic wls9_async și wls-wsat declanșează această vulnerabilitate de executare a comenzii de la distanță și afectează toate componentele

WebLogic versiunile cărora au activate wls9_async_response.war și wls-wsat.war (inclusiv versiunea curentă).
Până la emiterea acestei alerte, Vendorul încă nu a publicat remedierea corespunzătoare, care este o vulnerabilitate "Zero-day".

Sisteme potențial afectate:
Server de aplicații Oracle WebLogic 10.x, 12.1.3

În prezent, Oracle oficial nu a lansat un update, soluția temporară este următoare:
1.    Ștergeți pachetele war afectate și reporniți WebLogic
2.    Controlați accesul la adresa URL a căii / _async / * prin intermediul politicii de acces

Orange Moldova CERT recomandă implementarea acestei soluții temporare neoficiale.