WebLogic T3和谈反序列化 0day 缝隙

颁布功夫 2021-04-19

0x00 缝隙概述

CVE  ID


时   间

2021-04-19

类   型

RCE

等   级

高危

远程利用

是

影响领域


PoC/EXP

已公开

在野利用

是

 

0x01 缝隙详情

image.png

 

近日，WebLogic被披露存在一个T3和谈反序列化0 day缝隙，攻击者可利用此缝隙造成远程代码执行，目前该缝隙处于在野0day状态，并且PoC/EXP已在Github上公开。

在该缝隙的poc中，使用了java.rmi.MarshalledObject类，并将objBytes属性作为反序列化的流，从中解析对象，能够通过把objBytes代替为指定反序列化就能够实现weblogic黑名单绕过。

image.png

 

0x02 措置建议

建议将jdk升级到最新版本，并禁用iiop/t3和谈以作为一时缓解措施。

禁用T3和谈，具体操作如下：

1）进入WebLogic节造台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入衔接筛选器配置。

2)在衔接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，在衔接筛选器规定中输入：127.0.0.1 * * allow t3t3s，0.0.0.0/0 * *deny t3 t3s(t3和t3s和谈的所有端口只允许本地接见)。

3）保留后需沉新启动，规定方可生效。

image.png

 

 

禁用IIOP和谈，具体操作如下：

登陆WebLogic节造台，base_domain >服务器概要 >AdminServer

image.png

 

下载链接：

https://www.oracle.com/cn/java/technologies/javase/javase-jdk8-downloads.html

 

0x03 参考链接

https://github.com/hhroot/2021_Hvv/commit/8dcfdd7786ded69f404d52a162a8c4dfcbfd34b9

https://www.oracle.com/cn/java/technologies/javase/javase-jdk8-downloads.html

 

0x04 功夫线

2021-04-18  钻研人员披露缝隙

2021-04-19  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png