2019年4月17日,國家信息安全漏洞共享平臺(CNVD)收錄了Oracle WebLogic wls9-async反序列化遠程命令執行漏洞(CNVD-C-2019-48814)。攻擊者利用該漏洞,可在未授權的情況下遠程執行命令。目前,漏洞細節已經公開,近期內針對該類攻擊事件將劇增。

WebLogic Server是美國甲骨文(Oracle)公司開發的一款適用于云環境和傳統環境的應用服務中間件,它提供了一個現代輕型開發平臺,支持應用從開發到生產的整個生命周期管理,并簡化了應用的部署和管理。

wls9-async組件為WebLogic Server提供異步通訊服務,默認應用于WebLogic部分版本。由于該WAR包在反序列化處理輸入信息時存在缺陷,攻擊者通過發送精心構造的惡意 HTTP 請求,即可獲得目標服務器的權限,在未授權的情況下遠程執行命令。

CNVD對該漏洞的綜合評級為“高危”。

下圖為利用exp攻擊服務器遠程執行調用計算器命令的情景復現。

安全狗持續關注了事件進展。根據最新的研究分析,我們總結出了一些防護建議,敬請用戶知曉。

處置建議

目前,Oracle官方暫未發布補丁,臨時解決方案如下:

1、 找到并刪除ws9_ async_response.war、wIs-wsat.war并重啟 Weblogic服務。

2、 用戶也可通過網站狗或云御自定義規則策略,控制禁止 /_async/* 及 /wls-wsat/* 路徑的URL訪問。

建議使用WebLogic Server構建網站的信息系統運營者進行自查,發現存在漏洞后,按照臨時解決方案及時進行修復。