当前位置：首页 > news >正文

CISA KEV紧急收录Oracle WebLogic漏洞 + Android一次性修复124个漏洞：中间件与移动端攻击链完整复盘

news 2026/6/3 17:24:47

前言

2026年6月2日，CISA（美国网络安全和基础设施安全局）将CVE-2024-21182正式加入已知被利用漏洞（KEV）目录——这意味着这个两年前已有补丁的 Oracle WebLogic 漏洞，至今仍在被威胁行为者主动利用。

同一天，Google 发布 Android 6月安全补丁，修复多达124个安全漏洞，其中 CVE-2025-48595 已被确认存在"有限、定向在野利用"。

两件事放在一起，说明了同一个问题：打了补丁≠安全，没打补丁的企业正在活体成为靶子。

一、CVE-2024-21182：两年老洞为何还在野外利用？

漏洞技术原理

Oracle WebLogic Server 默认开放T3 和 IIOP 协议端口（7001）：

T3：WebLogic 专有协议，用于 EJB/RMI 远程对象调用
IIOP：CORBA 标准协议，用于跨平台对象访问

CVE-2024-21182 的问题在于：上述两个协议在预认证阶段缺乏充分的访问控制。攻击者向 7001 端口发送特制请求，无需任何凭据，就能触发服务端返回内部敏感信息——包括：

服务器内部配置数据
类路径信息
内网拓扑结构线索

这些信息本身不直接产生 RCE，但却是攻击链的"侦察阶段"——为后续 WebLogic 反序列化漏洞利用提供精确的落点。

攻击链路： ┌─────────────────────────────────────────────────────┐ │ 阶段1：侦察 │ │ → 扫描 7001 端口 │ │ → 发送 T3/IIOP 无认证请求 │ │ → 获取服务器内部配置（CVE-2024-21182） │ ├─────────────────────────────────────────────────────┤ │ 阶段2：利用 │ │ → 结合已知反序列化 gadget chain │ │ → 投递反序列化 payload 至 T3 端口 │ │ → 执行任意代码（历史CVE：21225/21306/22965等） │ ├─────────────────────────────────────────────────────┤ │ 阶段3：横向移动 │ │ → 读取 WebLogic 数据源配置（数据库连接串+凭据） │ │ → 直连后端数据库 │ │ → 数据大规模外泄 │ └─────────────────────────────────────────────────────┘

为什么两年后还在被利用？

Oracle 2024年1月已发布修复补丁，但从 CISA 加入 KEV 的时间节点来看，大量企业仍未完成修复。原因非常典型：

原因	背后逻辑
WebLogic 升级风险高	企业核心业务跑在旧版本，稳定性优先，不敢随意升级
内网暴露被忽视	误以为 7001 只在内网，忽略横向移动场景
补丁管理缺失	没有系统的漏洞扫描和补丁跟踪流程
历史债务	WebLogic 版本跨度大，不同版本补丁路径不同，运维难度高

这不是 WebLogic 独有的问题。中间件层的漏洞往往比操作系统漏洞修复更慢，因为它们深度耦合业务逻辑，测试成本高、迁移路径复杂。

数据库数据在此处的威胁面

攻击者一旦拿到 WebLogic 的数据源配置，通常包含：

# WebLogic 数据源配置（config.xml）典型结构<jdbc-driver-params><url>jdbc:oracle:thin:@dbserver:1521/PROD</url><driver-name>oracle.jdbc.OracleDriver</driver-name><properties><property><name>user</name><value>app_user</value></property><property><name>password</name><value>明文密码或弱加密密码</value><!--高危！--></property></properties></jdbc-driver-params>

如果后端数据库本身没有加密，攻击者直连数据库即可批量拖取数据，且不留任何 WebLogic 层面的访问日志。

防护关键点

立即行动（技术层）：

# 1. 确认版本并应用补丁# 受影响版本：12.2.1.4.0 / 14.1.1.0.0# 修复版本：12.2.1.4.240116 / 14.1.1.0.240116# 2. 临时缓解：通过连接过滤器限制 T3 访问# WebLogic Console → 环境 → 服务器 → 协议 → 连接过滤器# 输入规则：127.0.0.1 * * allow t3 t3s# * * 7001 deny t3 t3s# 3. 如业务不依赖 IIOP，直接禁用# Console → 域 → JTA → IIOP → 取消勾选「启用IIOP」

数据层防护：

即使 WebLogic 漏洞被利用，如果底层数据已做透明加密，攻击者拿到的也只是密文——无法直接读取业务数据。安当 TDE 透明加密支持对 Oracle、MySQL、SQL Server、PostgreSQL 等主流数据库进行存储层加密，应用零改造，且加密吞吐可达 45Gb/s，不影响正常业务读写性能。

凭据硬编码消除：

config.xml 里的明文数据库密码是另一个高危点。安当 SMS 凭据管理系统可以替换配置文件中的静态明文凭据，改为动态短期凭据，WebLogic 启动时通过 SDK 获取实时凭据，即使配置文件被读取，拿到的也是已过期的 Token。

二、Android 6月补丁：124个漏洞、1个在野利用

CVE-2025-48595 技术细节

Google 确认 CVE-2025-48595 存在"有限、定向在野利用"。基本参数：

字段	值
受影响组件	Android Framework
漏洞类型	整数溢出
权限要求	本地执行，无需用户交互
影响版本	Android 14 / 15 / 16 / 16 QPR2
CVSS 评分	8.4（高危）
攻击效果	本地权限提升（LPE）

利用场景：攻击者已在设备上有低权限代码执行能力（如通过恶意 App），通过整数溢出触发 Framework 组件异常，将权限从普通应用提升至系统级别，进而：

读取其他应用的沙盒数据
关闭或绕过 Android Keystore
在背景安装持久化组件
提取存储在设备上的 OAuth Token / 企业 VPN 凭据

企业移动设备管理的现实困境

Android 补丁机制的碎片化问题至今没有根本解决：

Google 发布补丁 │ ↓ 延迟 1-3 个月 各大 OEM 厂商适配（华为/小米/OPPO/vivo等） │ ↓ 延迟 2-4 个月 运营商版本适配 │ ↓ 最终用户更新 实际设备打上补丁：往往在漏洞公开后 4-6 个月

对企业安全团队来说，员工手持设备通常处于"永久未完全打补丁"的状态。CVE-2025-48595 这类 LPE 漏洞，在企业 BYOD 场景下的威胁面尤为突出——攻击者可以通过一个看起来合规的 App（如企业自建的工具 App），在背后利用提权漏洞横向读取 MDM Profile 或企业 VPN 凭据。

终端接入的控制思路

与其追补丁，不如从终端认证层面建立防线：

设备身份绑定：企业内网 VPN/系统接入采用设备级证书认证（而非仅用账号密码）。即使设备被提权，攻击者也无法从设备上导出私钥——安当 UKEY 智能密码钥匙的私钥不可导出特性，或者通过安当 ASP 统一身份认证平台配合 RADIUS 协议，可以将 VPN 接入绑定至设备+用户双因素，即使设备账号被提权，远程接入请求也因缺少第二因素而被拒绝。

动态口令兜底：对于无法完全控制设备的 BYOD 场景，基于时间的 TOTP 动态口令（安当 OTP）至少确保了即使设备账号泄露，攻击者也无法静默完成身份认证——每 30 秒轮换的动态码让凭据窃取失去意义。

三、数据：漏洞利用窗口期与纵深防护层

四、两个事件的共同信号

CVE-2024-21182 和 CVE-2025-48595 看似分属不同层面（中间件 vs 移动端操作系统），但都指向同一个系统性风险：

暴露面在扩大，修复速度在放慢，两者之间的窗口就是攻击者的机会。

Verizon 2026 DBIR 的数据已经印证了这一点：漏洞利用占比从 2025 年的 24% 跳升至 31%，首次超越凭据窃取成为头号入口。不是凭据窃取减少了，而是漏洞利用增速更快——因为大量已知漏洞始终没有被修复。

五、工程实践：漏洞窗口期的数据保护原则

补丁永远有窗口期。在这个窗口期内，数据保护需要另一条防线：

原则一：存储层加密与传输无关

无论攻击者通过 WebLogic T3 漏洞、Android LPE 还是其他路径进入，存储层透明加密确保数据文件本身是密文，未经授权读取只能得到乱码。

# 安当 TDE 接入示意（Oracle 数据库配置）# wallet 路径与密钥管理由 KSP 统一托管ENCRYPTION_WALLET_LOCATION=(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/opt/oracle/wallet)))# 表空间加密开启后，SELECT 结果对有权限账号透明，未授权访问只能读到密文ALTER TABLESPACE users ENCRYPTION ONLINE ENCRYPT;

原则二：凭据不落地

WebLogic config.xml、K8s Secret、容器环境变量中的静态凭据是"窗口期"最危险的暴露点。动态凭据轮换的核心不是频率有多快，而是让凭据在时间维度上失效——攻击者拿到的是已经作废的 Token。

原则三：多因素认证不依赖设备安全

终端设备本身不可信（无论是已知 LPE 还是未知 0day），身份认证的强度不能建立在"设备是干净的"这个假设上。TOTP + 硬件 UKEY 的组合，将认证信任根从设备转移到物理令牌，Android LPE 的影响范围被限制在设备本身，无法延伸到远程系统访问。

总结

Oracle WebLogic CVE-2024-21182 进入 CISA KEV，攻击链：T3/IIOP 无认证侦察 → 反序列化 RCE → 数据库凭据获取 → 数据外泄
Android CVE-2025-48595 在野利用：Framework 整数溢出 → LPE → 设备凭据/Token 窃取
补丁窗口期内的防线：存储层透明加密（安当 TDE）+ 凭据动态轮换（安当 SMS）+ 多因素认证不依赖设备（安当 OTP / UKEY / ASP）
WebLogic 7001 端口如非必要应通过防火墙限制 T3/IIOP 访问；补丁应在测试环境验证后尽快应用到生产