WebLogic wls9-async反序列化远程号令执行缝隙安全公告
颁布功夫 2019-04-18缝隙编号和级别
CVD编号：CNVD-C-2019-48814，，，， ，， ，危险级别：高危，，，， ，， ，CVSS分值：官方未评定
影响版本
WebLogic 10.X
WebLogic 12.1.3
缝隙概述
2019年4月17日，，，， ，， ，国度信息安全缝隙共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程号令执行缝隙（CNVD-C-2019-48814）。。。。。。 。 。攻击者利用该缝隙，，，， ，， ，可在未授权的情况下远程执行号令。。。。。。 。 。目前，，，， ，， ，官方补丁尚未颁布，，，， ，， ，缝隙细节未公开。。。。。。 。 。
WebLogic Server是美国甲骨文（Oracle）公司开发的一款合用于云环境和传统环境的利用服务中央件，，，， ，， ，它提供了一个现代轻型开发平台，，，， ，， ，支持利用从开发到出产的整个性命周期治理，，，， ，， ，并简化了利用的部署和治理。。。。。。 。 。
部门版本WebLogic中默认蕴含的wls9_async_response包，，，， ，， ，为WebLogic Server提供异步通佩服务。。。。。。 。 。由于该WAR包在反序列化处置输入信息时存在缺点，，，， ，， ，攻击者能够发送精心机关的恶意 HTTP 要求，，，， ，， ，获得指标服务器的权限，，，， ，， ，在未授权的情况下远程执行号令。。。。。。 。 。
CNVD秘书处对WebLogic服务在全球领域内的散布情况进行分析，，，， ，， ，了局显示该服务的全球用户规模约为6.9万，，，， ，， ，其中位于我国境内的用户规模约为2.9万。。。。。。 。 。
CNVD秘书处组织技术力量进行技术检测，，，， ，， ，发现我国境内WebLogic用户中，，，， ，， ，共有461个网站受此缝隙影响，，，， ，， ，所占比例为1.6%，，，， ，， ，该比例远低于我平台在2018年4月18日收录的WebLogic Server反序列化缝隙（CNVD-2018-07811）的影响领域。。。。。。 。 。
CNVD国度缝隙库将对发现存在缝隙网站的单元进行传递，，，， ，， ，实时解除缝隙攻击威胁。。。。。。 。 。
缝隙验证
暂无POC、EXP。。。。。。 。 。
缝隙查抄步骤
打开URL（http://IP:端口/_async/），，，， ，， ，提醒谬误403且含有“From RFC 2068 Hypertext Transfer Protocol -- HTTP/1.1:”?可判断存在Oracle Oracle WebLogic wls9-async反序列化远程号令执行缝隙。。。。。。 。 。
建复建议
目前，，，， ，， ，Oracle官方暂未颁布补丁，，，， ，， ，一时解决规划如下：
1、 删除该war包（bea_wls9_async_response.war）并沉启webLogic；； ；；；；；；
2、 通过接见战术节造不容 /_async/* 蹊径的URL接见。。。。。。 。 。
建议使用WebLogic Server构建网站的信息系统运营者进行自查，，，， ，， ，发现存在缝隙后，，，， ，， ，依照一时解决规划实时进行建复。。。。。。 。 。
参考链接
http://www.cnvd.org.cn/webinfo/show/4989
|
+886 12345678 +886 12345678
|
|
上海 地址：中国·上海
|
京公网安备11010802024551号