【更新】Oracle WebLogic 远程命令执行(CVE-2019-2729)漏洞预警
  

SANGFOR_智安全 9002

{{ttag.title}}
本帖最后由 某公司_智安全 于 2019-6-21 00:21 编辑

近日,Oracle官方安全公告中披露了 CVE-2019-2729 WebLogic 远程命令执行漏洞。漏洞定级为 High,属于高危漏洞。该漏洞本质是由于 wls9-async组件在反序列化处理输入信息时存在缺陷,未经授权的攻击者可以发送精心构造的恶意 HTTP 请求,获取服务器权限,实现远程命令执行。
漏洞名称:Oracle WebLogic Server远程代码执行漏洞
威胁等级:高危
漏洞编号:CVE-2019-2729
影响版本
Oracle WebLogic Server 10.3.6.0.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 12.2.1.3.0
影响组件
wls9_async_response.war
wls-wsat.war
利用难度:简单
补丁链接:https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2729-5570780.html


WebLogic组件介绍

WebLogic是美国Oracle公司出品的一个application server,确切的说是一个基于JAVAEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。

将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。WebLogic是商业市场上主要的Java(J2EE)应用服务器软件(application server)之一,是世界上第一个成功商业化的J2EE应用服务器,具有可扩展性,快速开发,灵活,可靠性等优势。
漏洞描述

CVE-2019-2729漏洞是对CVE-2019-2725漏洞补丁进行绕过,形成新的漏洞利用方式,属于CVE-2019-2725漏洞的变形绕过。

与CVE-2019-2725漏洞相似,CVE-2019-2729漏洞是由于应用在处理反序列化输入信息时存在缺陷,攻击者可以通过发送精心构造的恶意 HTTP 请求,用于获得目标服务器的权限,并在未授权的情况下执行远程命令,最终获取服务器的权限。针对此漏洞,官方已经发布补丁,所以强烈建议受到影响的用户尽快下载官方最新补丁,以防服务器处于高风险之中。
影响范围

目前据统计,在全球范围内对互联网开放WebLogic的资产数量多达35,894台,其中归属中国地区的受影响资产数量1万以上

目前受影响的WebLogic版本:
Oracle WebLogic 10.3.6
Oracle WebLogic 12.1.3  
Oracle WebLogic 12.2.1.3   

修复建议

Oracle官方已经在关键补丁更新(CPU)中修复了该漏洞。

相关链接:
https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2729-5570780.html

请受影响用户及时前往下载,Oracle官方补丁需要用户持有正版软件的许可账号,使用该账号登陆https://support.oracle.com后,可以下载最新补丁。

临时修复方案

1.建议客户针对服务器使用情况,删除以下两个文件并重启Weblogic服务:

wls9_async_response.war文件及相关文件夹
wls-wsat.war文件及相关文件夹
文件路径如下:
10.3.*版本:




\Middleware\wlserver_10.3\server\lib\%DOMAIN_HOME%\servers\AdminServer\tmp\_WL_internal\%DOMAIN_HOME%\servers\AdminServer\tmp\.internal\
12.1.3版本:




\Middleware\Oracle_Home\oracle_common\modules\%DOMAIN_HOME%\servers\AdminServer\tmp\.internal\%DOMAIN_HOME%\servers\AdminServer\tmp\_WL_internal\
2.通过访问限制配置来限制访问/_async/* 路径的请求。


某公司解决方案

某公司安全云在漏洞爆发之初,已完成检测更新,对所有用户网站探测,保障用户安全。不清楚自身业务是否存在漏洞的用户,可注册信服云眼账号,获取30天免费安全体验。

注册地址:http://saas.sangfor.com.cn

某公司云镜】在漏洞爆发的第一时间就完成从云端下发本地检测更新,部署云镜的用户只需选择紧急漏洞检测,即可轻松、快速检测此高危风险。

某公司下一代防火墙】可轻松防御此漏洞,建议部署某公司下一代防火墙的用户更新至最新的安全防护规则,可轻松抵御此高危风险。

某公司云盾】已第一时间从云端自动更新防护规则,云盾用户无需操作,即可轻松、快速防御此高危风险。
时间轴

2019/04/17
CNVD安全公告中披露了一则WebLogic wls-async 反序列化远程命令执行漏洞(CNVD-C-2019-48814,CVE-2019-2725)。
2019/04/22
某公司千里目安全实验室分析并复现该漏洞,发布漏洞预警以及产品解决方案。
2019/06/03
某公司安全团队发现Oracle WebLogic 远程命令执行 0day漏洞的在野利用方式,复现分析并发布预警以及解决方案。
2019/06/15   
某公司千里目安全实验室发现捕获到的多种变形攻击有蔓延趋势,发布二次预警。
2019/06/18   
Oracle官方安全公告中披露了CVE-2019-2729 WebLogic 远程命令执行漏洞并发布了补丁。
2019/06/19  
某公司千里目安全实验室对CVE-2019-2729漏洞发布漏洞预警。

打赏鼓励作者,期待更多好文!

打赏
1人已打赏

厌児 发表于 2019-6-29 16:31
  
这些东西要多关注才行
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
技术笔记
每周精选
干货满满
技术咨询
信服课堂视频
秒懂零信任
自助服务平台操作指引
新版本体验
标准化排查
产品连连看
安装部署配置
功能体验
GIF动图学习
玩转零信任
2023技术争霸赛专题
技术晨报
安全攻防
每日一记
深信服技术支持平台
天逸直播
华北区交付直播
社区帮助指南
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
通用技术
卧龙计划
华北区拉练
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV

本版达人

SANGFOR...

本周分享达人