Oracle WebLogic 最新补丁的绕过漏洞分析（CVE-2020-2883）

今年早些时候，作者在博客中公开了一个Oracle WebLogic Server中的反序列化漏洞。此漏洞是由Oracle补丁的，并分配了CVE-2020-2555。但是，VNPT ISC的研究员Quynh Le向ZDI提交了一个漏洞，该漏洞表明了可以绕过补丁利用此漏洞。Oracle 已通报此标记为CVE-2020-2883的漏洞可用于攻击。在此博客文章中，我们将详细介绍此最新补丁中的漏洞。

 https://www.zerodayinitiative.com/blog/2020/3/5/cve-2020-2555-rce-through-a-deserialization-bug-in-oracles-weblogic-server
 https://www.us-cert.gov/ncas/current-activity/2020/05/01/unpatched-oracle-weblogic-servers-vulnerable-cve-2020-2883
 https://www.zerodayinitiative.com/advisories/ZDI-20-570/

0x01  补丁绕过

CVE-2020-2555的原始补丁程序未修补以下gdaget利用链的部分：

 BadAttributeValueExpException.readObject()
   com.tangosol.util.filter.LimitFilter.toString() // <--- CVE-2020-2555在此处补丁
     com.tangosol.util.extractor.ChainedExtractor.extract()
         com.tangosol.util.extractor.ReflectionExtractor().extract()
             Method.invoke()
             //...
             com.tangosol.util.extractor.ReflectionExtractor().extract()
             Method.invoke()
                 Runtime.exec()

调用ChainedExtractor.extract()仍将导致远程执行代码，Quynh Le的报告显示，ChainedExtractor.extract()仍然可以通过ExtractorComparator和AbstractExtractor类进行访问。奇热我们从查看compare()方法ExtractorComparator：开始分析

 public int compare(T o1, T o2) {
     Comparable a1 = (o1 instanceof InvocableMap.Entry) ? (Comparable)((InvocableMap.Entry)o1).extract(this.m_extractor) 
                                                                                 : (Comparable)this.m_extractor.extract(o1);
           Comparable a2 = (o2 instanceof InvocableMap.Entry) ? (Comparable)((InvocableMap.Entry)o2).extract(this.m_extractor)
                                                                                  : (Comparable)this.m_extractor.extract(o2);
          if (a1 == null)
     {
       return (a2 == null) ? 0 : -1;
     }
          if (a2 == null)
     {
       return 1;
     }
          return a1.compareTo(a2);
   }

如上所示，仍然可以通过设置ChainedExtractor.extract()为this.m_extractor的实例来调用ChainedExtractor。

同样，compare()也可以使用AbstractExtractor抽象类的方法。

 public  int compare（Object o1，Object o2）{ return  SafeComparator 。compareSafe（null，extract（o1），extract（o2））; }

MultiExtractor类扩展AbstractExtractor可以到达ChainedExtractor.extract()：

 public abstract class AbstractCompositeExtractor   extends AbstractExtractor   [...Truncated...]
   public class MultiExtractor
   extends AbstractCompositeExtractor
   [...Truncated...]
      public Object extract(Object oTarge