马脚预警丨Oracle WebLogic XMLDecoder反序列化马脚

FreeBuf FreeBuf

一、序言

Oracle Fusion Middleware(Oracle融合中央件)是美国甲骨文(Oracle)公司的一套面向企业和云情形的生意立异平台。该平台供给了中央件、软件鸠合等功能。Oracle WebLogic Server是个中的一个适用于云情形和传统情形的应用处事器组件。

WebLogic中默认包含的wls-wast 与wls9_async_response war包,因为以上WAR包采用XMLDecoder反序列化机制来处理发送过来的XML数据,远程恶意冲击者可以经由发送精心组织的HTTP请求,在未授权的景遇下远程执行呼吁,获得方针处事器的权限。也就是说,冲击者能够直接获取处事器系统权限,进行数据窃取,进而甚至会威胁受害者的内网安然。

Weblogic因为XMLDecoder反序列化不屈安数据导致的马脚今朝有三个,第一个是CVE-2017-3506 ,第二个是CVE-2017-10271。这两个历史马脚的数据输入点在 /wls-wsat/ 目录下。第三个是 CVE-2019-2725,这个马脚的数据输入点增加了一个/_async/.

网藤CRS/ARS产品已周全撑持该马脚的检测与验证,网藤用户可直接上岸www.riskivy.com进行验证。

二、影响版本

Oracle WebLogic Server 10.x

Oracle WebLogic Server 12.1.3

三、马脚风险

1.可经由接见路径/_async/AsyncResponseServiceSoap12判断wls9_async_response组件是否存在。若返回如下页面,请引起关注,实时回收防护法子。

2.可经由接见路径/wls-wsat/CoordinatorPortType,判断wls-wsat组件是否存在。若返回如下页面,则此组件存在。请引起关注,实时回收防护法子。

四、修复方案

4.1 设置接见把握策略

可经由设置接见把握策略禁止造孽用户接见以下路径

/wls-wsat/*/_async/*

4.2 删除不屈安文件

删除 wls9_async_response.war 与 wls-wsat.war 文件及相关文件夹,并重启 Weblogic 处事。具体文件路径如下:

Oracle WebLogic Server 10.3.x :\Middleware\wlserver_10.3\server\lib\%DOMAIN_HOME%\servers\AdminServer\tmp\_WL_internal\%DOMAIN_HOME%\servers\AdminServer\tmp\.internal\Oracle WebLogic Server 12.1.3 :\Middleware\Oracle_Home\oracle_common\modules\%DOMAIN_HOME%\servers\AdminServer\tmp\.internal\%DOMAIN_HOME%\servers\AdminServer\tmp\_WL_internal\

4.3 升级JDK 版本

本次马脚绕过只生效于JDK6,可升级JDK版本至JDK7及以上。

以上是本次高危马脚预警的相关信息,如有任何疑问或需要更多撑持,可经由以下体式与我们取得关系。

关系德律:400-156-9866

Email:help@tophant.com

*本文作者:TCC-星光,转载请注明来自FreeBuf.COM

超卓介绍



FreeBuf微信号:扫描二维码关注公众号
爱八卦,爱爆料。
小编推荐
  1. NO.1 16岁贵宾在睡梦中离世,主人:多希望这只是一个玩笑……

    长按数字复制 648083425 打开支出宝搜刮领取.100%成功!前几天的愚人节,一位主人碰着了这辈子最溃逃的“恶作剧”,她的爱犬Momo在她的身旁无声

  2. NO.2 生活不如意就养一只萨摩吧,再或者养四只更好

    养一只小天使就足以让你愉快那么一下养四只生活必然超级甜吧(图源ins:@miss_poppet_the_samoyed)天天看着这些微笑治愈一切啊— THE END —❤ 萨摩耶狗

  3. NO.3 “我家有只秃头哈士奇,而且还是巧克力色的!”

    比来,外网一只名叫Allie哈士奇火了,因为它不单秃头,照样巧克力色的!喏,就是它↓emmm……这张照片不太光鲜,让我们换一张。怎么样?超时兴

  4. NO.4 双爪交叉的可爱猫咪和狗狗

    12345678910111213

  5. NO.5 网友晒出收养的流浪猫照片,前后对比让人惊掉下巴!

    流散猫给人一种脏脏的印象收养它们不是那么随意决意的它们或许生病或许营养不良需方式养人承担更多责任可好多流散猫咪在兽医和主人共同努力

  6. NO.6 二哈私生子找上门,主人求鉴定,看清长相后...网友笑喷了!

    切切别让二哈四处乱跑,不然你会很随意就升级为爷爷奶奶...比来有位铲屎官在网上发乞助文:我邻居猜忌我家二哈把他家狗子肚子搞大了,咋整!

  7. NO.7 萨摩万万没想到,自己竟生出一窝全是小黑狗...

    网友家的萨摩耶在家可以说,就是白雪公主!网友一贯在想它的白马王子谁是怎么样的,没想到自家的白雪公主竟然爱上了近邻的二哈... 网友的邻居

  8. NO.8 泰迪大半夜不睡觉跟女主人要零食,结果......

    宠派泰迪轻点关注,泰迪与您一路迷路宠派·萌宠圈子 上线啦海量宠物动态一站式解决养宠所需~还能投稿晒出爱宠让它成为圈子里最靓的汪!还等什

Copyright 2019 三金网,让大家及时掌握各行各业第一手资讯新闻!