安全研究 SECURITY SERVICE

Weblogic CVE-2020-2555反序列化远程代码执行漏洞

发布时间: 2020-03-11
来源:
浏览数: 84

  漏洞背景  




反序列化漏洞已经逐渐成为攻击者/研究人员在面对Java Web应用安全研究侧重点。这些漏洞通常能进行远程代码执行(RCE),并且修复起来比较困难。在本文中,我们将分析CVE-2020-2555漏洞影响,并提供相应的解决方案。该漏洞存在于Oracle Coherence库中,从而影响使用该库的Oracle WebLogic服务器等常见产品(涉及多个Weblogic版本)。



  漏洞描述  




2020年3月5日,Zero0day公布了关于Weblogic(CVE-2020-2555)详细分析文章,Oracle Coherence为Oracle融合中间件中的产品,在WebLogic 12c及以上版本中默认集成到WebLogic安装包中,攻击者通过t3协议发送构造的序列化数据,能过造成命令执行的效果。
Weblogic CVE-2020-2555反序列化远程代码执行漏洞


  影响版本  




影响版本(包含Coherence包):

Oracle Coherence 3.7.1.17

Oracle Coherence 12.1.3.0.0

Oracle Coherence 12.2.1.3.0

Oracle Coherence 12.2.1.4.0


  影响版本  





    在分析CVE-2020-2555的补丁引入了一处修改,涉及LimitFilter类的toString()方法:下图为打补丁前的相关代码


Weblogic CVE-2020-2555反序列化远程代码执行漏洞

补丁在toString()中会将this.m_oAnchorTop和this.m_oAnchorBottom

作为参数传入ValueExtractor.extract(),补丁移除了extractor.extract()操作,跟进extract()看下,发现extract()只是一个抽象方法,并没有实现,那说明extract()在ValueExtractor的子类中可以利用。因为是反序列化,所以我们只需要在ValueExtractor子类中找到实现了Serializable或者ExternalizableLite反序列化接口并且有extract()的方法。

最终在com.tangosol.util.extractor.ReflectionExtractor#extract()找到了反射任意方法调用。


Weblogic CVE-2020-2555反序列化远程代码执行漏洞


执 行 过 程


1、通过调用FileOutputStream.write()实现任意文件创建;2、通过调用Runtime.exec()实现任意命令执行;

3、通过调用Method.invoke()实现任意方法调用。对于该漏洞,我们主要关注的是Method.invoke(),该调用能通过反射来调用任意Java方法。了解该信息后,我们开始查找具备extract()方法的所有实例(根据前文分析,该方法正是补丁分析后我们得出的根源点),并且最终会调用Method.invoke()。在Coherence库中提供了这样一个类(ChainedExtractor),可以让我们串接extract()调用:只要反序列化执行了chainedExtractor.extract()就可以造成rce。


Weblogic CVE-2020-2555反序列化远程代码执行漏洞

测试如下:

Weblogic CVE-2020-2555反序列化远程代码执行漏洞


处 置 建 议



防护建议


部署捷普入侵防御系统(IPS)的用户,更新相应规则升级包,开启Weblogic防护规则,配置相关安全策略,即可达到防护效果。


Weblogic CVE-2020-2555反序列化远程代码执行漏洞

临 时 缓 解 措 施



1、升级补丁,参考oracle官网发布的补丁

https://www.oracle.com/security-alerts/cpujan2020.html

2、如果不依赖T3协议进行JVM通信,禁用T3协议。或配置相关筛选器保存生效(需重启)127.0.0.1 * * allow t3 t3s

0.0.0.0/0 * * deny t3 t3s

Weblogic CVE-2020-2555反序列化远程代码执行漏洞

相关检测T3协议命令

nmap.exe -p 7001 --script=weblogic-t3-info.nse XXX.XXX.XXX.XXX


Weblogic CVE-2020-2555反序列化远程代码执行漏洞

参考:

https://www.zerodayinitiative.com/blog/2020/3/5/cve-2020-2555-rce-through-a-deserialization-bug-in-oracles-weblogic-server

https://y4er.com/post/weblogic-cve-2020-2555/

 

分享到:
  • 相关推荐 RELATED TO RECOMMEND
  • 点击次数: 10
    2024 - 04 - 19
    Jenkins存在源验证错误漏洞https://cxsecurity.com/cveshow/CVE-2024-23898/ Redhat等厂商的多款产品存在空指针解引用漏洞https://bugzilla.redhat.com/show_bug.cgi?id=2254052 Linux kernel n_gsm模块存在多个本地提权漏洞https://github.com/YuriiCrimson/ExploitGSM Jenkins存在安全漏洞https://www.cve.org/CVERecord?id=CVE-2024-23897 Djangoproject Django存在安全漏洞https://nvd.nist.gov/vuln/detail/CVE-2024-24680
  • 点击次数: 12
    2024 - 04 - 15
    Qualcomm多款产品存在空指针解引用漏洞https://www.cve.org/CVERecord?id=CVE-2022-33304 Qualcomm多款产品存在越界读取漏洞https://cxsecurity.com/cveshow/CVE-2022-33306/ Qualcomm多款产品存在双重释放漏洞https://www.cve.org/CVERecord?id=CVE-2022-33307 Qualcomm多款产品存在跨界内存写漏洞https://cxsecurity.com/cveshow/CVE-2022-40514/ Qualcomm多款产品存在不正确的类型转换漏洞https://www.cve.org/CVERecord?id=CVE-2022-40531
  • 点击次数: 12
    2024 - 04 - 10
    Byzoro多款产品存在访问控制不恰当漏洞https://github.com/GTA12138/vul/blob/main/smart%20s150/2024-1-9%20smart%20s150%20101508.md Elearning_system_project Elearning_system存在SQL注入漏洞https://github.com/anx0ing/CVE_demo/blob/main/2022/eLearning%20System-SQL%20injections.md Byzoro多款产品存在危险类型文件的不加限制上传漏洞https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202401-2401 Siemens Automation_license_manager存在对另一领域资源的外部控制引用漏洞https://cert-portal.siemens.com/productcert/html/ssa-476715.html Libexpat_project Libexpat存在资源穷尽漏洞https://www.cnnvd.org.cn/home/globalSearch?keyword=CNNVD-202402-245
  • 点击次数: 20
    2024 - 04 - 08
    Metasploit Meterpreter后门软件通过Redis服务分发https://redqueen.tj-un.com/IntelDetails.html?id=4bf38acec075467c8e104836873f0165 越南CoralRaider组织对亚洲多个国家实施数据窃取活动https://redqueen.tj-un.com/IntelDetails.html?id=c4f79f1e5d524202bac4e559eab37323 Lazy Koala组织利用LazyStealer窃取器攻击多个国家https://redqueen.tj-un.com/IntelDetails.html?id=ab47d855f6c2410db9409becd62180ac 伪造的恶意电子银行软件正被用于针对东南亚地区https://redqueen.tj-un.com/IntelDetails.html?id=3e885323a52a465eb07973ea9134fd6f Solar Spider组织借助JsOutProx新版本入侵多个地区的金融机构https://redqueen.tj-un.com/IntelDetails.html?id=bc63b6cc463443a19403a22e7de86013
  • 点击次数: 1
    2024 - 03 - 26
    AWS曝一键式漏洞,攻击者可接管Apache Airflow服务https://www.freebuf.com/news/395687.html 立即撤销V6权限:ParaSwap解决了AugustusV6漏洞https://www.anquanke.com/post/id/294367 立即修补:Pwn2Own中Firefox浏览器中被利用的两个零日漏洞已被解决https://www.anquanke.com/post/id/294359 黑客正在出售福昕阅读器的漏洞:尽快修补!https://www.anquanke.com/post/id/294249 Apple M系列芯片中的新GoFetch漏洞可泄露加密密钥https://redqueen.tj-un.com/InfoDetails.html?id=dd8ddaf7c8df4cc3bc7115f81e181dba
友情连接:
免费服务热线 ree service hotline 400-613-1868 手机端
法律声明 Copyright  西安交大捷普网络科技有限公司  陕ICP备18022218号-1

陕公网安备 61019002000857号

犀牛云提供云计算服务