關(guān)于WebLogic Server WLS 組件存在遠(yuǎn)程命令執(zhí)行漏洞的安全公告

2017年10月18日，國(guó)家信息安全漏洞共享平臺(tái)（CNVD）收錄了WebLogic Server WLS 組件遠(yuǎn)程命令執(zhí)行漏洞（CNVD-2017-31499，對(duì)應(yīng)CVE-2017-10271）。遠(yuǎn)程攻擊者利用該漏洞通過發(fā)送精心構(gòu)造的 HTTP 請(qǐng)求，獲取目標(biāo)服務(wù)器的控制權(quán)限。近期，由于漏洞驗(yàn)證代碼已公開，漏洞細(xì)節(jié)和驗(yàn)證利用代碼疑似在小范圍內(nèi)傳播，近期被不法分子利用出現(xiàn)大規(guī)模攻擊嘗試的可能性極大。

一、漏洞情況分析

Oracle WebLogic Server是美國(guó)甲骨文（Oracle）公司的一款適用于云環(huán)境和傳統(tǒng)環(huán)境的應(yīng)用服務(wù)器組件，它提供了一個(gè)現(xiàn)代輕型開發(fā)平臺(tái)，支持應(yīng)用從開發(fā)到生產(chǎn)的整個(gè)生命周期管理，并簡(jiǎn)化了應(yīng)用的部署和管理。

2017年10月18日，Oracle官方發(fā)布了包括WebLogic Server WLS 組件遠(yuǎn)程命令執(zhí)行漏洞的關(guān)于Weblogic Server的多個(gè)漏洞補(bǔ)丁，卻未公開漏洞細(xì)節(jié)。近日，根據(jù)安恒信息安全團(tuán)隊(duì)提供的信息，漏洞引發(fā)的原因是Weblogic“wls-wsat”組件在反序列化操作時(shí)使用了Oracle官方的JDK組件中“XMLDecoder”類進(jìn)行XML反序列化操作引發(fā)了代碼執(zhí)行，遠(yuǎn)程攻擊者利用該漏洞通過發(fā)送精心構(gòu)造好的HTTP XML數(shù)據(jù)包請(qǐng)求，直接在目標(biāo)服務(wù)器執(zhí)行Java代碼或操作系統(tǒng)命令。近期可能會(huì)有其他使用了“XMLDecoder”類進(jìn)行反序列化操作的程序爆發(fā)類似漏洞，需要及時(shí)關(guān)注，同時(shí)在安全開發(fā)方面應(yīng)避免使用“XMLDecoder”類進(jìn)行XML反序列化操作。CNVD對(duì)上述風(fēng)險(xiǎn)的綜合評(píng)級(jí)為“高?！?。 

二、漏洞影響范圍

OracleWebLogic Server10.3.6.0.0

OracleWebLogic Server12.1.3.0.0

OracleWebLogic Server12.2.1.1.0

OracleWebLogic Server12.2.1.2.0

三、漏洞修復(fù)建議

廠商已經(jīng)發(fā)布了修復(fù)補(bǔ)丁，強(qiáng)烈建議及時(shí)更新：

http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html 

臨時(shí)解決方案：

根據(jù)實(shí)際環(huán)境路徑，刪除WebLogic程序下列war包及目錄。

rm -f /home/WebLogic/Oracle/Middleware/wlserver_10.3/server/lib/wls-wsat.war

rm -f /home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/.internal/wls-wsat.war

rm -rf /home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/wls-wsat

重啟WebLogic服務(wù)或系統(tǒng)后，確認(rèn)以下鏈接訪問是否為404：

http://ip:port/wls-wsat/CoordinatorPortType11

附：參考鏈接：

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-10271

http://www.cnvd.org.cn/flaw/show/CNVD-2017-31499