WebLogic T3协议反序列化 0day 误差

宣布时间 2021-04-19

0x00 误差概述

CVE  ID


时   间

2021-04-19

类   型

RCE

等   级

高危

远程使用

是

影响规模


PoC/EXP

已果真

在野使用

是

 

0x01 误差详情

image.png

 

克日， ，，WebLogic被披露保存一个T3协议反序列化0 day误差， ，，攻击者可使用此误差造成远程代码执行， ，，现在该误差处于在野0day状态， ，，并且PoC/EXP已在Github上果真。。。

在该误差的poc中， ，，使用了java.rmi.MarshalledObject类， ，，并将objBytes属性作为反序列化的流， ，，从中剖析工具， ，，可以通过把objBytes替换为指定反序列化就可以实现weblogic黑名单绕过。。。

image.png

 

0x02 处置惩罚建议

建议将jdk升级到最新版本， ，，并禁用iiop/t3协议以作为暂时缓解步伐。。。

禁用T3协议， ，，详细操作如下：

1）进入WebLogic控制台， ，，在base_domain的设置页面中， ，，进入“清静”选项卡页面， ，，点击“筛选器”， ，，进入毗连筛选器设置。。。

2)在毗连筛选器中输入：weblogic.security.net.ConnectionFilterImpl， ，，在毗连筛选器规则中输入：127.0.0.1 * * allow t3t3s， ，，0.0.0.0/0 * *deny t3 t3s(t3和t3s协议的所有端口只允许外地会见)。。。

3）生涯后需重新启动， ，，规则方可生效。。。

image.png

 

 

禁用IIOP协议， ，，详细操作如下：

上岸WebLogic控制台， ，，base_domain >效劳器提要 >AdminServer

image.png

 

下载链接：

https://www.oracle.com/cn/java/technologies/javase/javase-jdk8-downloads.html

 

0x03 参考链接

https://github.com/hhroot/2021_Hvv/commit/8dcfdd7786ded69f404d52a162a8c4dfcbfd34b9

https://www.oracle.com/cn/java/technologies/javase/javase-jdk8-downloads.html

 

0x04 时间线

2021-04-18  研究职员披露误差

2021-04-19  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png