搜索

[14237] 2019-06-16_漏洞预警丨OracleWebLogicXMLDecoder反序列化漏洞

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-16_漏洞预警丨OracleWebLogicXMLDecoder反序列化漏洞 漏 洞 预 警 丨 O r a c l e   W e b L o g i c   X M L D e c o d e r 反 序 列 化 漏 洞 F r e e B u f   2 0 1 9 - 0 6 - 1 6 以 下 文 章 来 源 于 网 藤 风 险 感 知   ， 作 者 T C C - 星 光 一 、 前 言 一 、 前 言 O r a c l e   F u s i o n   M i d d l e w a r e （ （ O r a c l e 融 合 中 间 件 ） 是 美 国 甲 骨 文 （ 融 合 中 间 件 ） 是 美 国 甲 骨 文 （ O r a c l e ） 公 司 的 一 套 面 向 企 业 和 云 环 境 的 业 务 创 新 平 台 。 该 平 台 提 供 了 中 间 件 、 软 件 集 合 等 功 能 。 ） 公 司 的 一 套 面 向 企 业 和 云 环 境 的 业 务 创 新 平 台 。 该 平 台 提 供 了 中 间 件 、 软 件 集 合 等 功 能 。 O r a c l e   W e b L o g i c S e r v e r 是 其 中 的 一 个 适 用 于 云 环 境 和 传 统 环 境 的 应 用 服 务 器 组 件 。 是 其 中 的 一 个 适 用 于 云 环 境 和 传 统 环 境 的 应 用 服 务 器 组 件 。 W e b L o g i c 中 默 认 包 含 的 w l s - w a s t   与 w l s 9 _ a s y n c _ r e s p o n s e   w a r 包 ， 由 于 以 上 W A R 包 采 用 X M L D e c o d e r 反 序 列 化 机 制 来 处 理 发 送 过 来 的 X M L 数 据 ， 远 程 恶 意 攻 击 者 可 以 通 过 发 送 精 心 构 造 的 H T T P 请 求 ， 在 未 授 权 的 情 况 下 远 程 执 行 命 令 ， 获 得 目 标 服 务 器 的 权 限 。 也 就 是 说 ， 攻 击 者 能 够 直 接 获 取 服 务 器 系 统 权 限 ， 进 行 数 据 窃 取 ， 进 而 甚 至 会 威 胁 受 害 者 的 内 网 安 全 。 W e b l o g i c 因 为 X M L D e c o d e r 反 序 列 化 不 安 全 数 据 导 致 的 漏 洞 目 前 有 三 个 ， 第 一 个 是 C V E - 2 0 1 7 - 3 5 0 6   ， 第 二 个 是 C V E - 2 0 1 7 - 1 0 2 7 1 。 这 两 个 历 史 漏 洞 的 数 据 输 入 点 在   / w l s - w s a t /   目 录 下 。 第 三 个 是 C V E - 2 0 1 9 - 2 7 2 5 ， 这 个 漏 洞 的 数 据 输 入 点 增 加 了 一 个 / _ a s y n c / . 网 藤 网 藤 C R S / A R S 产 品 已 全 面 支 持 该 漏 洞 的 检 测 与 验 证 ， 网 藤 用 户 可 直 接 登 陆 产 品 已 全 面 支 持 该 漏 洞 的 检 测 与 验 证 ， 网 藤 用 户 可 直 接 登 陆 w w w . r i s k i v y . c o m 进 行 验 证 。 进 行 验 证 。 二 、 影 响 版 本 二 、 影 响 版 本 O r a c l e   W e b L o g i c   S e r v e r   1 0 . x O r a c l e   W e b L o g i c   S e r v e r   1 2 . 1 . 3 三 、 漏 洞 危 害 三 、 漏 洞 危 害 1 . 可 通 过 访 问 路 径 / _ a s y n c / A s y n c R e s p o n s e S e r v i c e S o a p 1 2 判 断 w l s 9 _ a s y n c _ r e s p o n s e 组 件 是 否 存 在 。 若 返 回 如 下 页 面 ， 请 引 起 关 注 ， 及 时 采 取 防 护 措 施 。 2 . 可 通 过 访 问 路 径 / w l s - w s a t / C o o r d i n a t o r P o r t T y p e ， 判 断 w l s - w s a t 组 件 是 否 存 在 。 若 返 回 如 下 页 面 ， 则 此 组 件 存 在 。 请 引 起 关 注 ， 及 时 采 取 防 护 措 施 。 四 、 修 复 方 案 四 、 修 复 方 案 4 . 1   配 置 访 问 控 制 策 略 配 置 访 问 控 制 策 略 可 通 过 配 置 访 问 控 制 策 略 禁 止 非 法 用 户 访 问 以 下 路 径 4 . 2   删 除 不 安 全 文 件 删 除 不 安 全 文 件 删 除   w l s 9 _ a s y n c _ r e s p o n s e . w a r   与   w l s - w s a t . w a r   文 件 及 相 关 文 件 夹 ， 并 重 启   W e b l o g i c   服 务 。 具 体 文 件 路 径 如 下 ： 4 . 3   升 级 升 级 J D K   版 本 版 本 本 次 漏 洞 绕 过 只 生 效 于 J D K 6 ， 可 升 级 J D K 版 本 至 J D K 7 及 以 上 。 以 上 是 本 次 高 危 漏 洞 预 警 的 相 关 信 息 ， 如 有 任 何 疑 问 或 需 要 更 多 支 持 ， 可 通 过 以 下 方 式 与 我 们 取 得 联 系 。 联 系 电 话 ： 4 0 0 - 1 5 6 - 9 8 6 6 网 藤 风 险 感 知 网 藤 风 险 感 知   . 斗 象 科 技 以 人 工 智 能 、 大 数 据 技 术 为 核 心 ， 实 战 攻 防 与 漏 洞 情 报 为 引 领 ， 自 主 研 发 的 新 一 代 智 能 安 全 产 品 解 决 方 案 。 / w l s - w s a t / * / _ a s y n c / * O r a c l e   W e b L o g i c   S e r v e r   1 0 . 3 . x   ： M i d d l e w a r e w l s e r v e r _ 1 0 . 3 s e r v e r l i b % D O M A I N _ H O M E % s e r v e r s A d m i n S e r v e r t m p _ W L _ i n t e r n a l % D O M A I N _ H O M E % s e r v e r s A d m i n S e r v e r t m p . i n t e r n a l O r a c l e
E m a i l ： h e l p @ t o p h a n t . c o m * 本 文 作 者 ： T C C - 星 光 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理