WebLogic T3和谈反序列化 0day 缝隙

颁布功夫 2021-04-19

0x00 缝隙概述

CVE  ID


时   间

2021-04-19

类   型

RCE

等   级

高危

远程利用

是

影响领域


PoC/EXP

已公开

在野利用

是

 

0x01 缝隙详情

image.png

 

近日，，，WebLogic被披露存在一个T3和谈反序列化0 day缝隙，，，攻击者可利用此缝隙造成远程代码执行，，，目前该缝隙处于在野0day状态，，，并且PoC/EXP已在Github上公开。

在该缝隙的poc中，，，使用了java.rmi.MarshalledObject类，，，并将objBytes属性作为反序列化的流，，，从中解析对象，，，能够通过把objBytes代替为指定反序列化就能够实现weblogic黑名单绕过。

image.png

 

0x02 措置建议

建议将jdk升级到最新版本，，，并禁用iiop/t3和谈以作为一时缓解措施。

禁用T3和谈，，，具体操作如下：：：

1）进入WebLogic节制台，，，在base_domain的配置页面中，，，进入“安全”选项卡页面，，，点击“筛选器”，，，进入衔接筛选器配置。

2)在衔接筛选器中输入：：：weblogic.security.net.ConnectionFilterImpl，，，在衔接筛选器规定中输入：：：127.0.0.1 * * allow t3t3s，，，0.0.0.0/0 * *deny t3 t3s(t3和t3s和谈的所有端口只允许本地接见)。

3）保留后需重新启动，，，规定方可生效。

image.png

 

 

禁用IIOP和谈，，，具体操作如下：：：

登陆WebLogic节制台，，，base_domain >服务器概要 >AdminServer

image.png

 

下载链接：：：

https://www.oracle.com/cn/java/technologies/javase/javase-jdk8-downloads.html

 

0x03 参考链接

https://github.com/hhroot/2021_Hvv/commit/8dcfdd7786ded69f404d52a162a8c4dfcbfd34b9

https://www.oracle.com/cn/java/technologies/javase/javase-jdk8-downloads.html

 

0x04 功夫线

2021-04-18  钻研人员披露缝隙

2021-04-19  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：：：http://www.first.org/cvss/

image.png