专栏首页绿盟科技安全情报WebLogic反序列化漏洞(CVE-2018-2628)安全处置建议V3.0

WebLogic反序列化漏洞(CVE-2018-2628)安全处置建议V3.0

预警编号:NS-2018-0015-3

2018-04-27

TAG:

Oracle WebLogic、CVE-2018-2628、反序列化

危害等级:

高,此漏洞利用简单,可直接获取系统控制权限,存在被攻击者挖矿利用的可能性

版本:

3.0(增加了Weblogic服务恢复的方法)

1

漏洞概述

北京时间4月18日凌晨,Oracle官方发布了4月份的关键补丁更新CPU(Critical Patch Update),其中包含一个高危的远程代码执行漏洞(CVE-2018-2628),通过该漏洞,攻击者可以在未授权的情况下远程执行任意代码。

CVSS 评分:9.8,CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

根据绿盟威胁情报中心统计结果,在全球范围内对互联网开放Weblogic服务的资产数量多达19,229,其中归属中国地区的受影响资产数量为1,787。

SEE MORE →

2影响范围

受影响的版本

  • Weblogic 10.3.6.0
  • Weblogic 12.1.3.0
  • Weblogic 12.2.1.2
  • Weblogic 12.2.1.3

以上均为官方支持的版本

3漏洞防护

若通过Nginx/Apache配置反向代理的方式访问Weblogic应用,就限制了Weblogic T3的直接访问,此漏洞也将不能直接被利用。

3.1

临时解决方案

可通过控制T3协议的访问来临时阻断针对该漏洞的攻击。WebLogic Server 提供了名为 weblogic.security.net.ConnectionFilterImpl 的默认连接筛选器,此连接筛选器接受所有传入连接,可通过此连接筛选器配置规则,对t3及t3s协议进行访问控制,详细操作步骤如下:

1. 进入Weblogic控制台,在base_domain的配置页面中,进入“安全”选项卡页面,点击“筛选器”,进入连接筛选器配置。

2. 在连接筛选器中输入:weblogic.security.net.ConnectionFilterImpl,参考以下写法,在连接筛选器规则中配置符合自己实际情况的规则:

127.0.0.1 * * allow t3 t3s本机IP * * allow t3 t3s允许访问的IP * * allow t3 t3s * * * deny t3 t3s

连接筛选器规则格式如:target localAddress localPort action protocols,其中:target 指定一个或多个要筛选的服务器。localAddress 可定义服务器的主机地址。(如果指定为一个星号 (*),则返回的匹配结果将是所有本地 IP 地址。)localPort 定义服务器正在监听的端口。(如果指定了星号,则匹配返回的结果将是服务器上所有可用的端口)。action 指定要执行的操作。(值必须为“allow”或“deny”。)protocols 是要进行匹配的协议名列表。(必须指定下列其中一个协议:http、https、t3、t3s、giop、giops、dcom 或 ftp。) 如果未定义协议,则所有协议都将与一个规则匹配。

  • target 指定一个或多个要筛选的服务器。
  • localAddress 可定义服务器的主机地址。(如果指定为一个星号 (*),则返回的匹配结果将是所有本地 IP 地址。)
  • localPort 定义服务器正在监听的端口。(如果指定了星号,则匹配返回的结果将是服务器上所有可用的端口)。
  • action 指定要执行的操作。(值必须为“allow”或“deny”。)
  • protocols 是要进行匹配的协议名列表。(必须指定下列其中一个协议:http、https、t3、t3s、giop、giops、dcom 或 ftp。) 如果未定义协议,则所有协议都将与一个规则匹配。

3. 规则保存后,建议重新启动Weblogic服务以保证规则没有生效(重启weblogic服务会导致业务中断,建议相关人员评估风险后,再进行操作)。以Windows环境下的Weblogic中间件操作为例,步骤如下:

  • 进入域所在目录下的bin目录,在Windows系统中运行stopWebLogic.cmd文件终止weblogic服务,Linux系统中则运行stopWebLogic.sh文件。
  • 待终止脚本执行完成后,再运行startWebLogic.cmd或startWebLogic.sh文件启动Weblogic,即可完成Weblogic服务重启。

若参考上述操作配置了连接筛选器后,导致Weblogic无法启动,可参考”附录 Weblogic服务恢复“章节,及时进行业务恢复。

3.3

安全产品防护

3.3.1 绿盟网络入侵防护系统(NIPS)

已经部署绿盟网络入侵防护系统(NIPS)的用户,可通过规则升级进行有效的防护,请相关用户可参考以下步骤进行规则库升级。

1. 从官网下载最新的NIPS升级包,以5.6.10版本为例,访问以下链接可获得最新的规则升级包:

http://update.nsfocus.com/update/downloads/id/21006

2. 在系统升级中点击离线升级,选择系统规则库,选择对应的文件,点击上传。

3. 更新成功后,在系统默认规则库中查找规则编号:23614,即可查询到对应的规则详情。

注意事项:该升级包升级后引擎自动重启生效,不会造成会话中断,但ping包会丢3~5个,请选择合适的时间升级。

3.3.2 绿盟下一代防火墙系统(NF)

已经部署绿盟下一代防火墙系统(NF)的用户,可通过规则升级进行有效的防护,请相关用户可参考以下步骤进行规则库升级。

1. 从官网下载最新的NF升级包,以6.0.1版本为例,访问以下链接可获得最新的规则升级包:

http://update.nsfocus.com/update/downloads/id/21007

2. 在NF的规则升级界面进行升级:

3. 手动选择规则包,点击提交即可完成更新。

3.4

官方补丁

官方在4月份发布的关键补丁更新中已对此漏洞进行了修复。可参考链接:

http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html

补丁更新操作可参考链接:

https://docs.oracle.com/middleware/12213/lcm/OPATC/GUID-56D6728D-5EDC-482B-B2E4-DDB20A64FA32.htm#OPATC143

4漏洞影响排查

4.1

版本检查

使用如下命令对WebLogic版本进行排查

$ cd /Oracle/Middleware/wlserver_10.3/server/lib$ java -cp weblogic.jar weblogic.version

此漏洞影响到Oracle官方现支持的所有版本,使用Weblogic中间件的企业还需检测是否对互联网开放了Weblogic端口(默认为7001端口),如果Weblogic T3服务可被远程访问。则存在漏洞风险,请受影响的用户及时进行加固。

4.2

Nmap服务探测

Nmap工具提供了Weblogic T3协议的扫描脚本,可探测存在开启T3服务的Weblogic主机。命令如下:

nmap -n -v -Pn –sV [主机或网段地址] -p7001,7002 --script=weblogic-t3-info.nse

若扫描结果如下图所示,开启了T3协议,且Weblogic版本在受影响范围之内,则存在风险。

4.3

互联网资产核查

绿盟科技威胁情报中心(NTI)提供对互联网开放网络资产信息查看的功能,企业用户可通过在NTI上检索自有资产信息端口开放情况,查看企业资产是否受此漏洞影响。

绿盟科技威胁情报中心为企业客户提供互联网资产核查服务,使得企业客户能够及时掌握自身资产的安全态势以及资产变动情况,服务详情可咨询:NTI@nsfocus.com,或者咨询对应的客户经理。

4.4

绿盟云线上检查

绿盟云提供在线的检测入口,企业用户可进入页面检测自有资产是否受此漏洞影响。

手机端访问地址:

https://cloud.nsfocus.com/megi/hole_list.html

PC端访问地址:

https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12

4.5

漏洞扫描

绿盟远程安全评估系统针对CVE-2018-2628漏洞已经提供了扫描规则支持。

升级包版本号:RSAS V6 web插件包:V6.0R02F00.0902RSAS V6 系统插件包:V6.0R02F01.1002WVSS v6 web插件包:wvss:V6.0R03F00.104

请相关用户访问以下链接,下载并升级到最新插件版本, RSAS可提供针对此漏洞的扫描能力。

以RSAS 6.0 为例:http://update.nsfocus.com/update/downloads/id/21006

升级完成后,可通过定制扫描模板,针对此漏洞进行扫描。

5漏洞利用排查

当Weblogic中间件受到攻击时,会报出类转换异常,并在AdminServer.log日志中输出异常信息。因此,通过查看AdminServer.log文件,可以判断Weblogic服务器是否有被此漏洞利用的情况。

AdminServer.log存放的位置为:

\Oracle\Middleware\Oracle_Home\user_projects\domains\base_domain\servers\AdminServer\logs\AdminServer.log

用户可自行检查AdminServer.log,查看是否存在下图中的相关信息。

若存在,则判断该服务器已被该漏洞利用,请尽快修复并对攻击行为进行追踪和溯源。如需提供应急响应服务,可咨询对应的客户经理。

附录Weblogic服务恢复

  • 控制台恢复

在服务重启前,可进入Weblogic控制台删除相关配置,详细步骤如下。

1. 点击“base_domain”——》“安全”——》“筛选器”

2. 将原有配置清空,点击保存。

3. 点击“查看更改和重新启动”,进入“重新启动核对清单”,勾选“AdminServer(管理)”,点击“重新启动”按钮。

  • 配置文件恢复

配置完连接筛选器后,配置信息会保存在“\Oracle\Middleware\user_projects\domains\base_domain\config\config.xml”文件中

用文本编辑器打开上述文件,找到如下配置内容后删除:

<connection-filter>weblogic.security.net.ConnectionFilterImpl</connection-filter><connection-filter-rule>* * 7001 deny t3 t3s</connection-filter-rule>

END

作者:绿盟科技安全服务部

声明

本安全公告仅用来描述可能存在的安全问题,绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经绿盟科技允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。

本文分享自微信公众号 - 绿盟科技安全预警(nsfocus_secwarning),作者:绿盟安全服务部

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2018-10-17

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • WebLogic反序列化漏洞(CVE-2018-2893)处置建议

    北京时间7月18日,Oracle官方发布了7月份(第二季度)的关键补丁更新CPU(Critical Patch Update),其中修复了一个4月份(第一季度)...

    绿盟科技安全情报
  • Weblogic远程代码执行漏洞(CVE-2018-3245)处置建议

    北京时间10月17日凌晨,Oracle官方发布了10月份(第三季度)关键补丁更新CPU(Critical Patch Update),其中修复了一个7月份(第二...

    绿盟科技安全情报
  • 【漏洞通告】微软6月安全更新多个产品高危漏洞通告

    北京时间6月10日,微软发布6月安全更新补丁,修复了130个安全问题,涉及Microsoft Windows、Internet Explorer、Microso...

    绿盟科技安全情报
  • 改善C#程序的建议4:C#中标准Dispose模式的实现

    需要明确一下C#程序(或者说.NET)中的资源。简单的说来,C#中的每一个类型都代表一种资源,而资源又分为两类:

    潘成涛
  • 一文了解GreenPlum

    行式数据库是按照行存储的,行存储就是各行放入连续的物理位置,就行我们平时写字一样,一行一行的写,读取的时候也是一行一行的读取。像SQL server,Oracl...

    WindyQin
  • MXNet | LeNet-5(卷积神经网络)用于手写字识别

    卷积神经网络参考:http://yann.lecun.com/exdb/lenet/ 比赛的官网:https://www.kaggle.com/c/digi...

    努力在北京混出人样
  • WebLogic反序列化漏洞(CVE-2018-2893)处置建议

    北京时间7月18日,Oracle官方发布了7月份(第二季度)的关键补丁更新CPU(Critical Patch Update),其中修复了一个4月份(第一季度)...

    绿盟科技安全情报
  • MXNet | 手写字MNIST识别比赛

    比赛的官网:https://www.kaggle.com/c/digit-recognizer

    努力在北京混出人样
  • 快速上手小程序云开发

    小程序云开发为微信小程序开发者提供云到端的一站式解决方案,帮助开发者统一构建和管理资源,能有效降低技术门槛、减少研发成本、提升开发效率,协助开发者快速搭建稳定高...

    腾讯云大学
  • xlsx的OutOfMemoryError

    将数据读入或者导出到xlsx文件的时候,常常需要循环写出, 如 res <- read.xlsx("edgeR_DEgenes.xlsx",1) writ...

    生信编程日常

扫码关注云+社区

领取腾讯云代金券