2025年1月Oracle补丁日多个漏洞安全风险通告

近日，嘉诚安全监测到Oracle官方发布了1月份的安全更新公告，修复了多个漏洞包括CVE-2025-21535、CVE-2025-21549、CVE-2025-21521等，其中Oracle WebLogic Server T3/IIOP远程命令执行漏洞(CVE-2025-21535)、MySQL Server 线程池组件拒绝服务漏洞(CVE-2025-21521)影响相对较大。

鉴于漏洞危害较大，嘉诚安全提醒广大Oracle用户尽快下载补丁更新，避免引发漏洞相关的网络安全事件。

经研判，以下Oracle WebLogic Server的漏洞影响较大：

1.CVE-2025-21535

Oracle WebLogic Server T3/IIOP远程命令执行漏洞，经研判，该漏洞为高危漏洞。Oracle WebLogic Server 中存在命令执行漏洞。未经身份验证的攻击者可以通过T3或IIOP协议通过网络访问来破坏Oracle WebLogic Server。成功的攻击可能导致攻击者完全接管Oracle WebLogic Server。

2.CVE-2025-21521

MySQL Server 线程池组件拒绝服务漏洞，经研判，该漏洞为高危漏洞。该漏洞存在于 MySQL Server 的线程池组件中。攻击者可以通过网络利用该漏洞，无需身份验证或用户交互。成功利用该漏洞可能导致 MySQL Server 挂起或频繁崩溃，从而完全拒绝服务。

影响范围：

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

Oracle MySQL Server <= 8.0.39

Oracle MySQL Server <= 8.4.2

Oracle MySQL Server <= 9.0.1

1.官方修补建议：

目前官方已发布补丁，请参考以下链接进行修复：

https://www.oracle.com/security-alerts/cpujan2025.html

2.临时修补建议：

如非必要使用，建议禁用T3和IIOP协议，具体操作步骤如下：

禁用T3协议：

（1）进入WebLogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。

（2）在连接筛选器中输入：

WebLogic.security.net.ConnectionFilterImpl，参考以下写法，在连接筛选器规则中配置符合企业实际情况的规则：

127.0.0.1 * * allow t3 t3s

本机IP * * allow t3 t3s

允许访问的IP * * allow t3 t3s 

* * * deny t3 t3s

（3）保存后需重新启动，规则方可生效。

禁用IIOP协议：

用户可通过关闭IIOP协议阻断针对利用IIOP协议漏洞的攻击，操作如下：

在WebLogic控制台中，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选。并重启WebLogic项目，使配置生效。