Oracle WebLogic Server 远程安全漏洞：别等被勒索了才想起打补丁

2023年10月的远程那个周二，Oracle照例发布了季度补丁。安全但安全圈没人觉得“照例”——CVE-2023-21839的漏洞利用代码在补丁发布前48小时就已在GitHub上流传。我亲眼看着一家电商公司的远程运维凌晨三点在群里哀嚎：他们的WebLogic集群被植入了挖矿程序，CPU飙到100%，安全但业务系统毫无异常日志。漏洞这就是远程WebLogic漏洞的可怕之处：它不声不响，却能让你整个内网变成别人的安全肉鸡。

这个漏洞出在T3协议上——WebLogic用来和Java客户端通信的漏洞老旧协议。攻击者不需要任何账号密码，远程只要向7001端口发送一串精心构造的安全恶意序列化数据，就能在服务器上执行任意命令。漏洞整个过程就像你给前台递了张纸条，远程前台不仅帮你转交，安全还顺手帮你把门锁拆了。漏洞更讽刺的是，这个协议从WebLogic 10.3版本就存在，Oracle在2022年就警告过序列化数据不可信，但直到今天，仍有大量企业运行着2017年甚至更早的版本。

我接触过一家银行，他们的安全负责人理直气壮地说：“我们内网隔离，外网访问不到WebLogic。”结果呢？攻击者通过钓鱼邮件拿下一台办公电脑，横向渗透时发现内网某台测试服务器开着WebLogic——正是他们三年前为了跑一个报表临时部署的，后来忘了关。这台服务器连着数据库备份系统，备份系统又连着核心生产网。你看，漏洞从来不是单点问题，它是一张多米诺骨牌的第一张。别迷信内网隔离，现代攻击链里，内网设备往往比外网设备更脆弱，因为没人觉得它们需要防护。

Oracle的补丁策略也让人头疼。每个季度发一堆补丁，但很多企业不敢随便打——WebLogic上跑着老旧的业务系统，升级JDK版本都可能引发兼容性问题。于是“补丁滞后”成了常态。有个物流客户告诉我，他们平均要等三个月才敢把补丁应用到生产环境，因为之前有过一次补丁导致Session丢失，直接让全国网点瘫痪两小时的惨痛经历。这话听着无奈，但现实就是如此：安全性和业务连续性天然冲突，而多数企业选择先保业务。

那怎么办？我的看法是，别指望Oracle做救世主。至少做三件事：第一，立刻检查所有WebLogic版本，低于12.2.1.4的直接隔离，别商量；第二，禁用T3协议，如果业务必须用，就加白名单IP限制，并用防火墙把7001端口封死，只对特定跳板机开放；第三，部署RASP（运行时应用自我保护）工具，这东西能拦截反序列化攻击，比事后补丁实在得多。我见过一家制造业客户这么干，他们连补丁都没打，靠RASP硬扛了半年，直到业务系统完成迁移。

最后说句难听的：WebLogic这种老古董，能迁就迁，能换就换。它就像一栋上世纪的老楼，你天天修补裂缝，但地基早就老化了。用Spring Boot或Quarkus重写业务？工作量是大，但总比某天早上发现所有数据库被加密、屏幕上贴着比特币地址强。安全这行，侥幸心理是最贵的成本。