背景信息:
2019年6月15日,监测到Oracle WebLogic 在野0day命令执行漏洞,该漏洞绕过了最新的Weblogic补丁(CVE-2019-2725),攻击者可以发送精心构造的恶意HTTP请求,在未授权的情况下远程执行命令,风险极大。
漏洞描述:
该漏洞绕过CVE-2019-2725补丁,漏洞存在wls-wsat和bea_wls9_async_response组件,未经授权的攻击者可以发送精心构造的恶意 HTTP 请求,获取服务器权限,实现远程代码执行。
漏洞定级:
高危
漏洞影响范围:
- 10.3.6.0.0
- 12.1.3.0.0
- 12.2.1.3.0
漏洞处置建议:
- 删除wls-wsat.war和bea_wls9_async_response相关组件并重启WebLogic,如:bea_wls9_async_response.war、com.oracle.webservices.wls.bea-wls9-async-response_*.war和wls-wsat.war
- 通过访问控制策略禁止互联网对/_async/*和/wls-wsat/*路径的访问
- 通过防火墙策略禁止WebLogic端口对外或只允许特定安全ip地址访问
注意:以上的修复方式都有可能造成业务不可用,请在策略配置后进行测试。
官方补丁还未释放。
扩展知识引用:
https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2729-5570780.html?spm=a2c4g.11174386.n2.4.51761051aJjcuh