Oracle WebLogic 远程代码执行漏洞(CVE-2019-2725 补丁绕过)

背景信息:

2019年6月15日,监测到Oracle WebLogic 在野0day命令执行漏洞,该漏洞绕过了最新的Weblogic补丁(CVE-2019-2725),攻击者可以发送精心构造的恶意HTTP请求,在未授权的情况下远程执行命令,风险极大。

漏洞描述:

该漏洞绕过CVE-2019-2725补丁,漏洞存在wls-wsat和bea_wls9_async_response组件,未经授权的攻击者可以发送精心构造的恶意 HTTP 请求,获取服务器权限,实现远程代码执行。

漏洞定级:

高危

漏洞影响范围:

  1. 10.3.6.0.0
  2. 12.1.3.0.0
  3. 12.2.1.3.0

漏洞处置建议:

  1. 删除wls-wsat.war和bea_wls9_async_response相关组件并重启WebLogic,如:bea_wls9_async_response.war、com.oracle.webservices.wls.bea-wls9-async-response_*.war和wls-wsat.war
  2. 通过访问控制策略禁止互联网对/_async/*和/wls-wsat/*路径的访问
  3. 通过防火墙策略禁止WebLogic端口对外或只允许特定安全ip地址访问

注意:以上的修复方式都有可能造成业务不可用,请在策略配置后进行测试。

官方补丁还未释放。

扩展知识引用:

https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2729-5570780.html?spm=a2c4g.11174386.n2.4.51761051aJjcuh

相关推荐:
App Transport Security(应用程序安全传输),简称ATS,是苹果在iOS 9 中首次推出的一项隐私安全保护功能,启用ATS后,它会屏蔽明文HTTP资源加载,强制App通过HTTPS连接网络服务,通过传输加密保障用户数据安全。 A …
SSH登录服务器时总是要停顿等待一下才能连接上,原因在于:OpenSSH服务器有一个DNS查找选项UseDNS默认是打开的。 在UseDNS选项打开状态下,当客户端试图登录OpenSSH服务器时,服务器端先根据客户端的IP地址进 行DNS …
SSH服务是管理linux平台的最便捷的方式之一,但是若你在未配置私钥的情况下进行管理时,恶意者也会通过手段来扫描你的SSH服务,从而进行暴力破解或攻击。 SSH服务被暴力破解很可能直接危及你的linux平台安全,甚至耗 …
Inkscape 是一个专业品质的矢量图编辑工具,支持 Windows, Mac OS X 和 GNU/Linux。它深受来自世界各地的专业设计师和业余爱好者的追捧,可以用来创作插画、图标、logo,绘图,地图以及网页图像。 Inkscap …
以往我们一直使用的Wi-Fi大多数是支持 IEEE 802.11n(第四代)无线标准的,而且工作在2.4GHz这个频段上的,所以称之为2.4gWi-Fi,但是严格来说工作在5GHz频段上的不一定就是5G Wi-Fi,因为IEEE 802.11a(第一代)IEE …
拿起手机扫一扫即可带走我!