java 反序列化漏洞解决

时间 2020-01-20

标签 java 序列漏洞解决栏目 Java 繁體版

原文原文链接

1.解决应用漏洞web

将commons-collections.jar包内org/apache/commons/collections/functors/InvokerTransformer.class文件，不要直接解压缩后打开再从新包，这样会有问题。要直接用压缩工具软件打开后直接删除。特别注意若是集群环境，要所有停掉再执行此操做才有效，不然会被缓存的文件覆盖回原始包。apache

2.解决weblogic应用服务器漏洞(安装EJUW补丁)缓存

下载p20780171_1036_Generic.zip 补丁包，并上传服务器weblogic的安装目录(如：服务器

/opt/bea/utils/bsu/cache_dirapp

)工具

解压unzip p20780171_1036_Generic.zip ,产生EJUW.jar,patch-catalog_22958.xml,readme.txt等三个文件；字体

进行/opt/bea/utils/bsu目录；lua

修改bsu.sh文件的内存信息，通常设置成1024m；spa

执行命令：./bsu.sh -install -patch_download_dir=/opt/bea/utils/bsu/cache_dir/ -patchlist=EJUW -prod_dir=/opt/bea/wlserver_10.3/orm

升级完成后会成升级成功的提示；

经过命令./bsu.sh -prod_dir=/opt/bea/wlserver_10.3/ -status=applied -verbose -view,查看升级后的版本信息：

ProductName:       WebLogic Server
ProductVersion:    10.3 MP6
Components:        WebLogic Server/Core Application Server,WebLogic Server/Admi
                   nistration Console,WebLogic Server/Configuration Wizard and
                   Upgrade Framework,WebLogic Server/Web 2.0 HTTP Pub-Sub Serve
                   r,WebLogic Server/WebLogic SCA,WebLogic Server/WebLogic JDBC
                    Drivers,WebLogic Server/Third Party JDBC Drivers,WebLogic S
                   erver/WebLogic Server Clients,WebLogic Server/WebLogic Web S
                   erver Plugins,WebLogic Server/UDDI and Xquery Support,WebLog
                   ic Server/Evaluation Database,WebLogic Server/Workshop Code
                   Completion Support
BEAHome:           /opt/bea
ProductHome:       /opt/bea/wlserver_10.3
PatchSystemDir:    /opt/bea/utils/bsu
PatchDir:          /opt/bea/patch_wls1036
Profile:           Default
DownloadDir:       /opt/bea/utils/bsu/cache_dir
JavaVersion:       1.6.0_29
JavaVendor:        Sun

Patch ID:          EJUW
PatchContainer:    EJUW.jar
Checksum:          1554039558
Severity:          optional
Category:          General
CR/BUG:            20780171
Restart:           true
Description:       WLS PATCH SET UPDATE 10.3.6.0.12
WLS PATCH SET UPDATE 10.3.
                   6.0.12

注：升级前没有红色字体的信息

用一样的方案安装ZLNA补丁信息（p22248372_1036012_Generic.zip）

安装完成后重启服务器，并经过工具进行验证。