漏洞预警|关于WebLogic Server WLS核心组件 存在反序列化漏洞

Posted 江苏天网-信息安全专家

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了漏洞预警|关于WebLogic Server WLS核心组件 存在反序列化漏洞相关的知识,希望对你有一定的参考价值。


Weblogic 反序列化远程代码执行漏洞 (CVE-2018-2628)

漏洞描述   

      2018年4月18日,互联网爆出WebLogic Server WLS核心组件反序列化漏洞(CVE-2018-2628)。攻击者利用该漏洞,可在未授权的情况下远程执行代码。漏洞验证代码已被公开,近期被不法分子利用进行大规模攻击的可能性较大,厂商已发布补丁进行修复。该漏洞危害程度为高危(High)。

漏洞原理

       WebLogic Server是美国甲骨文(Oracle)公司开发的一款适用于云环境和传统环境的应用服务中间件,它提供了一个现代轻型开发平台,支持应用从开发到生产的整个生命周期管理,并简化了应用的部署和管理。在WebLogic Server 的 RMI(远程方法调用)通信中,T3协议(丰富套接字)用来在 WebLogic Server 和其他 Java 程序(包括客户端及其他 WebLogic Server 实例)间传输数据,该协议在开放WebLogic控制台端口的应用上默认开启。

       2018年4月18日凌晨,Oracle官方发布了4月份关键补丁更新CPU(Critical Patch Update),其中包含该Weblogic反序列化高危漏洞。利用该漏洞,攻击者可以在未经授权的情况下,远程发送攻击数据,通过T3协议在WebLogic Server中执行反序列化操作,反序列过程中会远程加载RMI registry,加载回来的registry又会被反序列化执行,最终实现了远程代码的执行。

影响范围

根据官方公告情况,该漏洞的影响版本如下:

WebLogic10.3.6.0

WebLogic12.1.3.0

WebLogic12.2.1.2

WebLogic12.2.1.3

据互联网对WebLogic服务在全球范围内的分布情况统计,结果显示该服务的全球规模约为6.9万,其中我国境内的用户量约为1.2万。随机抽样检测结果显示,大约为6%的WebLogic服务受此漏洞影响。

临时解决方案

可通过控制 T3 协议的访问来临时阻断针对该漏洞的攻击。WebLogic Server 提供了名为 weblogic.security.net.ConnectionFilterImpl 的默认连接筛选器,此连接筛选器接受所有传入连接,可通过此连接筛选器配置规则,对 t3 及t3s 协议进行访问控制,详细操作步骤如下:

1.进入Weblogic控制台,在base_domain的配置页面中,进入“安全”选项卡页面,点击“筛选器”,进入连接筛选器配置。

2 .在连接筛选器中输入:security.net.ConnectionFilterImpl,在连接筛选器规则中输入:* * 7001 deny t3 t3s

3.保存后规则即可生效,无需重新启动。

最终解决方案

       Oracle 官方已经在今天的关键补丁更新(CPU)中修复了该漏洞,强烈建议受影响的用户尽快升级更新进行防护。

注:Oracle 官方补丁需要用户持有正版软件的许可账号,使用该账号登陆https://support.oracle.com 后,可以下载最新补丁。

http://www.oracle.com/technetwork/security-advisory/cpujan2017-2881727.html


以上是关于漏洞预警|关于WebLogic Server WLS核心组件 存在反序列化漏洞的主要内容,如果未能解决你的问题,请参考以下文章

漏洞预警weblogic反序列化漏洞再度来袭

未然预警 | WebLogic反序列化漏洞

安全预警Oracle WebLogic中间件2020年4月官方 最新发布安全漏洞预警(原创)

Oracle WebLogic安全漏洞预警

漏洞预警丨Oracle WebLogic XMLDecoder反序列化漏洞

[漏洞预警]Oracle WebLogic wls9-async组件存在反序列化远程命令执行漏洞