WebLogic反序列化漏洞（CVE-2018-2628）安全处置建议V3.0

预警编号:NS-2018-0015-3

2018-04-27

1

漏洞概述

北京时间4月18日凌晨，Oracle官方发布了4月份的关键补丁更新CPU（Critical Patch Update）,其中包含一个高危的远程代码执行漏洞(CVE-2018-2628)，通过该漏洞，攻击者可以在未授权的情况下远程执行任意代码。

CVSS 评分：9.8，CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

根据绿盟威胁情报中心统计结果，在全球范围内对互联网开放Weblogic服务的资产数量多达19,229，其中归属中国地区的受影响资产数量为1,787。

SEE MORE →

2影响范围

受影响的版本

• Weblogic 10.3.6.0
• Weblogic 12.1.3.0
• Weblogic 12.2.1.2
• Weblogic 12.2.1.3

以上均为官方支持的版本

3漏洞防护

若通过Nginx/Apache配置反向代理的方式访问Weblogic应用，就限制了Weblogic T3的直接访问，此漏洞也将不能直接被利用。

3.1

临时解决方案

可通过控制T3协议的访问来临时阻断针对该漏洞的攻击。WebLogic Server 提供了名为 weblogic.security.net.ConnectionFilterImpl 的默认连接筛选器，此连接筛选器接受所有传入连接，可通过此连接筛选器配置规则，对t3及t3s协议进行访问控制，详细操作步骤如下：

1. 进入Weblogic控制台，在base_domain的配置页面中，进入“安全”选项卡页面，点击“筛选器”，进入连接筛选器配置。

2. 在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，参考以下写法，在连接筛选器规则中配置符合自己实际情况的规则：

• target 指定一个或多个要筛选的服务器。
• localAddress 可定义服务器的主机地址。(如果指定为一个星号 (*)，则返回的匹配结果将是所有本地 IP 地址。)
• localPort 定义服务器正在监听的端口。(如果指定了星号，则匹配返回的结果将是服务器上所有可用的端口)。
• action 指定要执行的操作。(值必须为“allow”或“deny”。)
• protocols 是要进行匹配的协议名列表。(必须指定下列其中一个协议：http、https、t3、t3s、giop、giops、dcom 或 ftp。) 如果未定义协议，则所有协议都将与一个规则匹配。

3. 规则保存后，建议重新启动Weblogic服务以保证规则没有生效（重启weblogic服务会导致业务中断，建议相关人员评估风险后，再进行操作）。以Windows环境下的Weblogic中间件操作为例，步骤如下：

• 进入域所在目录下的bin目录，在Windows系统中运行stopWebLogic.cmd文件终止weblogic服务，Linux系统中则运行stopWebLogic.sh文件。

• 待终止脚本执行完成后，再运行startWebLogic.cmd或startWebLogic.sh文件启动Weblogic，即可完成Weblogic服务重启。

若参考上述操作配置了连接筛选器后，导致Weblogic无法启动，可参考”附录 Weblogic服务恢复“章节，及时进行业务恢复。

3.3

安全产品防护

3.3.1 绿盟网络入侵防护系统（NIPS）

已经部署绿盟网络入侵防护系统（NIPS）的用户，可通过规则升级进行有效的防护，请相关用户可参考以下步骤进行规则库升级。

1. 从官网下载最新的NIPS升级包，以5.6.10版本为例，访问以下链接可获得最新的规则升级包：

http://update.nsfocus.com/update/downloads/id/21006

2. 在系统升级中点击离线升级，选择系统规则库，选择对应的文件，点击上传。

3. 更新成功后，在系统默认规则库中查找规则编号：23614，即可查询到对应的规则详情。

注意事项：该升级包升级后引擎自动重启生效，不会造成会话中断，但ping包会丢3~5个，请选择合适的时间升级。

3.3.2 绿盟下一代防火墙系统（NF）

已经部署绿盟下一代防火墙系统（NF）的用户，可通过规则升级进行有效的防护，请相关用户可参考以下步骤进行规则库升级。

1. 从官网下载最新的NF升级包，以6.0.1版本为例，访问以下链接可获得最新的规则升级包：

http://update.nsfocus.com/update/downloads/id/21007

2. 在NF的规则升级界面进行升级：

3. 手动选择规则包，点击提交即可完成更新。

3.4

官方补丁

官方在4月份发布的关键补丁更新中已对此漏洞进行了修复。可参考链接：

http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html

补丁更新操作可参考链接：

https://docs.oracle.com/middleware/12213/lcm/OPATC/GUID-56D6728D-5EDC-482B-B2E4-DDB20A64FA32.htm#OPATC143

4漏洞影响排查

4.1

版本检查

使用如下命令对WebLogic版本进行排查

此漏洞影响到Oracle官方现支持的所有版本，使用Weblogic中间件的企业还需检测是否对互联网开放了Weblogic端口（默认为7001端口），如果Weblogic T3服务可被远程访问。则存在漏洞风险，请受影响的用户及时进行加固。

4.2

Nmap服务探测

Nmap工具提供了Weblogic T3协议的扫描脚本，可探测存在开启T3服务的Weblogic主机。命令如下：

若扫描结果如下图所示，开启了T3协议，且Weblogic版本在受影响范围之内，则存在风险。

4.3

互联网资产核查

绿盟科技威胁情报中心（NTI）提供对互联网开放网络资产信息查看的功能，企业用户可通过在NTI上检索自有资产信息端口开放情况，查看企业资产是否受此漏洞影响。

绿盟科技威胁情报中心为企业客户提供互联网资产核查服务，使得企业客户能够及时掌握自身资产的安全态势以及资产变动情况，服务详情可咨询：NTI@nsfocus.com，或者咨询对应的客户经理。

4.4

绿盟云线上检查

绿盟云提供在线的检测入口，企业用户可进入页面检测自有资产是否受此漏洞影响。

手机端访问地址：

https://cloud.nsfocus.com/megi/hole_list.html

PC端访问地址：

https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12

4.5

漏洞扫描

绿盟远程安全评估系统针对CVE-2018-2628漏洞已经提供了扫描规则支持。

请相关用户访问以下链接，下载并升级到最新插件版本， RSAS可提供针对此漏洞的扫描能力。

以RSAS 6.0 为例：http://update.nsfocus.com/update/downloads/id/21006

升级完成后，可通过定制扫描模板，针对此漏洞进行扫描。

5漏洞利用排查

当Weblogic中间件受到攻击时，会报出类转换异常，并在AdminServer.log日志中输出异常信息。因此，通过查看AdminServer.log文件，可以判断Weblogic服务器是否有被此漏洞利用的情况。

AdminServer.log存放的位置为：

用户可自行检查AdminServer.log，查看是否存在下图中的相关信息。

若存在，则判断该服务器已被该漏洞利用，请尽快修复并对攻击行为进行追踪和溯源。如需提供应急响应服务，可咨询对应的客户经理。

附录Weblogic服务恢复

• 控制台恢复

在服务重启前，可进入Weblogic控制台删除相关配置，详细步骤如下。

1. 点击“base_domain”——》“安全”——》“筛选器”

2. 将原有配置清空，点击保存。

3. 点击“查看更改和重新启动”，进入“重新启动核对清单”，勾选“AdminServer（管理）”，点击“重新启动”按钮。

• 配置文件恢复

配置完连接筛选器后，配置信息会保存在“\Oracle\Middleware\user_projects\domains\base_domain\config\config.xml”文件中

用文本编辑器打开上述文件，找到如下配置内容后删除：

END

作者：绿盟科技安全服务部

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。