2019年4月17日,國家信息安全漏洞共享平臺(CNVD)收錄了Oracle WebLogic wls9-async反序列化遠程命令執(zhí)行漏洞(CNVD-C-2019-48814)。攻擊者利用該漏洞,可在未授權(quán)的情況下遠程執(zhí)行命令。目前,漏洞細節(jié)已經(jīng)公開,近期內(nèi)針對該類攻擊事件將劇增。

WebLogic Server是美國甲骨文(Oracle)公司開發(fā)的一款適用于云環(huán)境和傳統(tǒng)環(huán)境的應(yīng)用服務(wù)中間件,它提供了一個現(xiàn)代輕型開發(fā)平臺,支持應(yīng)用從開發(fā)到生產(chǎn)的整個生命周期管理,并簡化了應(yīng)用的部署和管理。

wls9-async組件為WebLogic Server提供異步通訊服務(wù),默認應(yīng)用于WebLogic部分版本。由于該WAR包在反序列化處理輸入信息時存在缺陷,攻擊者通過發(fā)送精心構(gòu)造的惡意 HTTP 請求,即可獲得目標服務(wù)器的權(quán)限,在未授權(quán)的情況下遠程執(zhí)行命令。

CNVD對該漏洞的綜合評級為“高危”。

下圖為利用exp攻擊服務(wù)器遠程執(zhí)行調(diào)用計算器命令的情景復(fù)現(xiàn)。

安全狗持續(xù)關(guān)注了事件進展。根據(jù)最新的研究分析,我們總結(jié)出了一些防護建議,敬請用戶知曉。

處置建議

目前,Oracle官方暫未發(fā)布補丁,臨時解決方案如下:

1、 找到并刪除ws9_ async_response.war、wIs-wsat.war并重啟 Weblogic服務(wù)。

2、 用戶也可通過網(wǎng)站狗或云御自定義規(guī)則策略,控制禁止 /_async/* 及 /wls-wsat/* 路徑的URL訪問。

建議使用WebLogic Server構(gòu)建網(wǎng)站的信息系統(tǒng)運營者進行自查,發(fā)現(xiàn)存在漏洞后,按照臨時解決方案及時進行修復(fù)。