Oracle WebLogic Server反序列化远程代码执行漏洞修复方案
前言
国家信息安全漏洞库(CNNVD)公布了Oracle WebLogic Server 存在远程代码执行漏洞(CNNVD-201810-781、CVE-2018-3245)。攻击者可利用该漏洞在未授权的情况下发送攻击数据,通过T3协议在WebLogic Server中执行反序列化操作,最终实现远程代码执行。WebLogic Server 10.3.6.0、12.1.3.0、12.2.1.2、12.2.1.3等版本均受漏洞影响。目前, Oracle官方已经发布补丁修复了漏洞,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。
一、漏洞简介
WebLogic是美国Oracle公司一个基于JAVAEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。WebLogic Server的RMI(远程方法调用)目前使用Java远程消息交换协议JRMP(Java Remote Messaging Protocol)进行通信,在RMI通信中,T3协议(丰富套接字)用来在 WebLogic Server 和其他 Java 程序(包括客户端及其他 WebLogic Server 实例)间传输数据,该协议在开放WebLogic控制台端口的应用上默认开启。
国家信息安全漏洞库(CNNVD)公布了Oracle WebLogic Server 存在远程代码执行漏洞(CNNVD-201810-781、CVE-2018-3245)。该漏洞通过JRMP 协议利用RMI 机制的缺陷达到远程代码执行的目的。攻击者可以在未授权的情况下将payload 封装在T3 协议中,通过对T3 协议中的payload 进行反序列化,从而实现对存在漏洞的WebLogic 组件进行远程攻击,执行任意代码。
经研判分析,通过利用CVE-2018-3245,攻击者可在未授权的情况下发送攻击数据,通过T3 协议在WebLogic Server 中执行反序列化操作,最终实现远程执行任意代码并可获取目标系统的所有权限。
通报中心对上述漏洞的综合评级为“高危”。
二、漏洞影响范围
根据官方公告情况,该漏洞影响包括WebLogic 10.3.6.0、WebLogic 12.1.3.0、WebLogic 12.2.1.2 和WebLogic 12.2.1.3 等版本。
三、应对措施
(一)紧急措施
通过设置weblogic.security.net.ConnectionFilterImpl 默认连接筛选器,对T3/T3s 协议的访问权限进行配置,阻断漏洞利用途径。具体如下:
(1)进入WebLogic 控制台,在base_domain 的配置页面中,进入“安全”选项卡页面,点击“筛选器”,进入连接筛选器配置。
(2)在连接筛选器中输入: WebLogic.security.net.ConnectionFilterImpl,在连接筛选器规则中输入:
a)127.0.0.1 * * allow t3 t3s,0.0.0.0/0 * * deny t3 t3s(t3和t3s协议的所有端口只允许本地访问)。
b)* * 7001 deny t3 t3s。
(3)保存后需重新启动,规则方可生效。
(二)漏洞修复
及时更新至最新版本,参考链接如下:
https://www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html
四、漏洞修复
注:针对漏洞影响版本 Weblogic 10.3.6.0
(一)中间件补丁包信息
Weblogic官网10.3.6版本最新的补丁包为p28483404_1036.zip,补丁包更新步骤见README.txt
升级成功后中间件版本信息:
![dc2f4b4bc8c428d5f032c07efeee80cd.png](https://i-blog.csdnimg.cn/blog_migrate/a020ed41e22f746267f3005eeb1ebef2.jpeg)
(二)升级
Ø 解压补丁包
Oracle官方10月16日发布的最新补丁包p28483404_1036_Generic.zip,到D:be甥楴獬bsucache_dir;
Ø 查看升级前weblogic版本
切换到D:be甥楴獬bsu目录,运行bsu.cmd -view -status=applied -prod_dir=E:/beanew/wlserver_10.3/ -verbose
![16f8ebe5ac5afd14f368cfa3ad25f739.png](https://i-blog.csdnimg.cn/blog_migrate/b76626b87f6d5334862af42b14090563.jpeg)
Ø 停止weblogic服务
Ø 安装补丁
运行命令:bsu.cmd -install -patch_download_dir=D:be甥楴獬bsucache_dir -patchlist=BHT3 -prod_dir=D:bewlserver_10.3
![528b25b96b6b532fcba58f9d52367263.png](https://i-blog.csdnimg.cn/blog_migrate/b9de1c985e8b177396e3665ad3b585e0.jpeg)
Ø 查看weblogic升级后版本信息
运行命令:bsu.cmd -view -status=applied -prod_dir=E:/beanew/wlserver_10.3/ -verbose
![dde4caaefda75396647f30809b00097f.png](https://i-blog.csdnimg.cn/blog_migrate/1126c428c92c569e612e54ccc897ae0c.jpeg)
到此,Weblogic 10.3.6已升级完最新补丁,反序列化远程代码执行漏洞修复完成,可以启动应用提供服务了!
END
![eb7343557c5373b41c24b22e6f634dc7.png](https://i-blog.csdnimg.cn/blog_migrate/a50304812e50d1980bfba0ed929f458d.jpeg)