WebLogic wls9-async反序列化远程号令执行缝隙安全公告
颁布功夫 2019-04-18缝隙编号和级别
CVD编号：CNVD-C-2019-48814，危险级别：高危，CVSS分值：官方未评定
影响版本
WebLogic 10.X
WebLogic 12.1.3
缝隙概述
2019年4月17日，国度信息安全缝隙共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程号令执行缝隙（CNVD-C-2019-48814）。攻击者利用该缝隙，可在未授权的情况下远程执行号令。目前，官方补丁尚未颁布，缝隙细节未公开。
WebLogic Server是美国甲骨文（Oracle）公司开发的一款合用于云环境和传统环境的利用服务中央件，它提供了一个现代轻型开发平台，支持利用从开发到出产的整个性命周期治理，并简化了利用的部署和治理。
部门版本WebLogic中默认蕴含的wls9_async_response包，为WebLogic Server提供异步通佩服务。由于该WAR包在反序列化处置输入信息时存在缺点，攻击者能够发送精心机关的恶意 HTTP 要求，获得指标服务器的权限，在未授权的情况下远程执行号令。
CNVD秘书处对WebLogic服务在全球领域内的散布情况进行分析，了局显示该服务的全球用户规模约为6.9万，其中位于我国境内的用户规模约为2.9万。
CNVD秘书处组织技术力量进行技术检测，发现我国境内WebLogic用户中，共有461个网站受此缝隙影响，所占比例为1.6%，该比例远低于我平台在2018年4月18日收录的WebLogic Server反序列化缝隙（CNVD-2018-07811）的影响领域。
CNVD国度缝隙库将对发现存在缝隙网站的单元进行传递，实时解除缝隙攻击威胁。
缝隙验证
暂无POC、EXP。
缝隙查抄步骤
打开URL（http://IP:端口/_async/），提醒谬误403且含有“From RFC 2068 Hypertext Transfer Protocol -- HTTP/1.1:”?可判断存在Oracle Oracle WebLogic wls9-async反序列化远程号令执行缝隙。
建复建议
目前，Oracle官方暂未颁布补丁，一时解决规划如下：
1、 删除该war包（bea_wls9_async_response.war）并沉启webLogic；
2、 通过接见战术节造不容 /_async/* 蹊径的URL接见。
建议使用WebLogic Server构建网站的信息系统运营者进行自查，发现存在缝隙后，依照一时解决规划实时进行建复。
参考链接
http://www.cnvd.org.cn/webinfo/show/4989
|
+886 12345678 +886 12345678
|
|
上海 地址：中国·上海
|
京公网安备11010802024551号