一、漏洞概述

 

1 简介

WebLogic 是美国 Oracle 公司出品的一个应用服务器，是一个基于 JAVAEE 架构的中间件，WebLogic 是用于开发、集成、部署和管理大型分布式 Web 应用、网络应用和数据库应用的 Java 应用服务器。将 Java 的动态功能和 Java Enterprise 标准的安全性引入大型网络应用的开发、集成、部署和管理之中。 

2018 年 4 月 18 日，Oracle 官方发布了 4 月份的关键补丁，其中包含一个高危的 WebLogic 反序列化漏洞(CVE2018-2628)，404 实验室漏洞情报团队进行了漏洞应急处理。

2018 年 4 月 20 日，404 实验室发现了该漏洞的绕过方式。

2018 年 5 月 2 日，404 实验室将详情和 PoC 提交给 Oracle 官方。

2018 年 5 月 12 日，Oracle 官方复现并确认了该漏洞，进入主线版本修复。

2018 年 7 月 14 日，Oracle 官方给该漏洞分配 CVE 编号，CVE-2018-2893。

2018 年 7 月 18 日，Oracle 官方发布了 7 月份的安全补丁，修复该漏洞。

 

2 影响版本

• WebLogic 10.3.6.0
• WebLogic 12.1.3.0
• WebLogic 12.2.1.2
• WebLogic 12.2.1.3

 

二、漏洞复现 

 

1 复现环境

WebLogic 10.3.6.0.180417(安装了 18 年 4 月份的补丁)

 

2 复现过程及结果

1.在远程服务器中开启 JRMPListener，JRMPListener 会在监听指定端口，等待 JRMPClient 来连接并返回恶意 Payload。

2.使用 SreamMessageImpl 类将 JRMPClient 封装，生成 Payload。

3.使用 T3 协议脚本将 Payload 发送到目标服务器。

4.可以看到服务器已成功弹出计算器。

 

三、漏洞影响

根据 ZoomEye 网络空间搜索引擎对 WebLogic 服务的搜索结果，共找到 76549 条历史记录。

 

      

 

四、防护方案

1. Oracle 官方已经在 7 月份中的补丁中修复了该漏洞，建议受影响的用户尽快升级更新进行防护。

    2.通用防御方案使用第三方防火墙进行防护(如创宇盾[https://www.yunaq.com/cyd/])。

3. 技术业务咨询知道创宇技术业务咨询热线 :

400-060-9587(政府，国有企业)、028-68360638(互联网企业)

 

五、相关链接

 

• WebLogic 官网

https://www.oracle.com/middleware/weblogic/index.html  

• 官方公告

http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html  

• Seebug 收录

https://www.seebug.org/vuldb/ssvid-97419

• Seebug 照妖镜

https://www.seebug.org/monster/

• ZoomEye 网络空间搜索引擎

https://www.zoomeye.org/searchResult?q=weblogic