2019年4月17日,國(guó)家信息安全漏洞共享平臺(tái)(CNVD)收錄了Oracle WebLogic wls9-async反序列化遠(yuǎn)程命令執(zhí)行漏洞(CNVD-C-2019-48814)。攻擊者利用該漏洞,可在未授權(quán)的情況下遠(yuǎn)程執(zhí)行命令。目前,漏洞細(xì)節(jié)已經(jīng)公開(kāi),近期內(nèi)針對(duì)該類攻擊事件將劇增。

WebLogic Server是美國(guó)甲骨文(Oracle)公司開(kāi)發(fā)的一款適用于云環(huán)境和傳統(tǒng)環(huán)境的應(yīng)用服務(wù)中間件,它提供了一個(gè)現(xiàn)代輕型開(kāi)發(fā)平臺(tái),支持應(yīng)用從開(kāi)發(fā)到生產(chǎn)的整個(gè)生命周期管理,并簡(jiǎn)化了應(yīng)用的部署和管理。

wls9-async組件為WebLogic Server提供異步通訊服務(wù),默認(rèn)應(yīng)用于WebLogic部分版本。由于該WAR包在反序列化處理輸入信息時(shí)存在缺陷,攻擊者通過(guò)發(fā)送精心構(gòu)造的惡意 HTTP 請(qǐng)求,即可獲得目標(biāo)服務(wù)器的權(quán)限,在未授權(quán)的情況下遠(yuǎn)程執(zhí)行命令。

CNVD對(duì)該漏洞的綜合評(píng)級(jí)為“高危”。

下圖為利用exp攻擊服務(wù)器遠(yuǎn)程執(zhí)行調(diào)用計(jì)算器命令的情景復(fù)現(xiàn)。

安全狗持續(xù)關(guān)注了事件進(jìn)展。根據(jù)最新的研究分析,我們總結(jié)出了一些防護(hù)建議,敬請(qǐng)用戶知曉。

處置建議

目前,Oracle官方暫未發(fā)布補(bǔ)丁,臨時(shí)解決方案如下:

1、 找到并刪除ws9_ async_response.war、wIs-wsat.war并重啟 Weblogic服務(wù)。

2、 用戶也可通過(guò)網(wǎng)站狗或云御自定義規(guī)則策略,控制禁止 /_async/* 及 /wls-wsat/* 路徑的URL訪問(wèn)。

建議使用WebLogic Server構(gòu)建網(wǎng)站的信息系統(tǒng)運(yùn)營(yíng)者進(jìn)行自查,發(fā)現(xiàn)存在漏洞后,按照臨時(shí)解決方案及時(shí)進(jìn)行修復(fù)。