搜索

[1558] 2019-04-23_关于OracleWebLogicwls9-async组件存在反序列化远程命令执行漏洞的安全公告（第二版）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-04-23_关于OracleWebLogicwls9-async组件存在反序列化远程命令执行漏洞的安全公告（第二版） 关 于 O r a c l e   W e b L o g i c   w l s 9 - a s y n c 组 件 存 在 反 序 列 化 远 程 命 令 执 行 漏 洞 的 安 全 公 告 （ 第 二 版 ） 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 9 - 0 4 - 2 3 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 9 - 0 0 1 5 2 0 1 9 年 4 月 1 7 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 由 中 国 民 生 银 行 股 份 有 限 公 司 报 送 的 O r a c l e   W e b L o g i c   w l s 9 - a s y n c 反 序 列 化 远 程 命 令 执 行 漏 洞 （ C N V D - C - 2 0 1 9 - 4 8 8 1 4 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 远 程 执 行 命 令 。 目 前 ， 官 方 补 丁 尚 未 发 布 ， 漏 洞 细 节 未 公 开 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 W e b L o g i c   S e r v e r 是 美 国 甲 骨 文 （ O r a c l e ） 公 司 开 发 的 一 款 适 用 于 云 环 境 和 传 统 环 境 的 应 用 服 务 中 间 件 ， 它 提 供 了 一 个 现 代 轻 型 开 发 平 台 ， 支 持 应 用 从 开 发 到 生 产 的 整 个 生 命 周 期 管 理 ， 并 简 化 了 应 用 的 部 署 和 管 理 。 w l s 9 - a s y n c 组 件 为 W e b L o g i c   S e r v e r 提 供 异 步 通 讯 服 务 ， 默 认 应 用 于 W e b L o g i c 部 分 版 本 。 由 于 该 W A R 包 在 反 序 列 化 处 理 输 入 信 息 时 存 在 缺 陷 ， 攻 击 者 通 过 发 送 精 心 构 造 的 恶 意   H T T P   请 求 ， 即 可 获 得 目 标 服 务 器 的 权 限 ， 在 未 授 权 的 情 况 下 远 程 执 行 命 令 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 该 漏 洞 的 影 响 版 本 如 下 ： W e b L o g i c   1 0 . X W e b L o g i c   1 2 . 1 . 3 C N V D 秘 书 处 对 W e b L o g i c 服 务 在 全 球 范 围 内 的 分 布 情 况 进 行 分 析 ， 结 果 显 示 该 服 务 的 全 球 用 户 规 模 约 为 6 . 9 万 ， 其 中 位 于 我 国 境 内 的 用 户 规 模 约 为 2 . 9 万 。 C N V D 秘 书 处 组 织 技 术 力 量 进 行 技 术 检 测 ， 发 现 我 国 境 内 W e b L o g i c 用 户 中 ， 共 有 2 0 1 7 个 网 站 受 此 漏 洞 影 响 ， 所 占 比 例 为 6 . 9 % ， 该 比 例 略 高 于 我 平 台 在 2 0 1 8 年 4 月 1 8 日 收 录 的 W e b L o g i c   S e r v e r 反 序 列 化 漏 洞 （ C N V D - 2 0 1 8 - 0 7 8 1 1 ） 的 影 响 范 围 。 C N V D 国 家 漏 洞 库 已 对 上 述 受 漏 洞 影 响 的 单 位 完 成 通 报 ， 及 时 消 除 漏 洞 攻 击 威 胁 。 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， O r a c l e 官 方 暂 未 发 布 补 丁 ， 临 时 解 决 方 案 如 下 ： 1 、   删 除 该 w a r 包 并 重 启 W e b L o g i c 服 务 ； 2 、   通 过 访 问 策 略 控 制 禁 止   / _ a s y n c / *   及   / w l s - w s a t / *   路 径 的 U R L 访 问 。 建 议 使 用 W e b L o g i c   S e r v e r 构 建 网 站 的 信 息 系 统 运 营 者 进 行 自 查 ， 发 现 存 在 漏 洞 后 ， 按 照 临 时 解 决 方 案 及 时 进 行 修 复 。 感 谢 C N V D 技 术 组 成 员 单 位 — — 北 京 知 道 创 宇 信 息 技 术 有 限 公 司 为 本 报 告 提 供 的 技 术 支 持 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理