CDN加速

产品动态 > 正文

Weblogic爆多个高危漏洞,网宿云WAF实时防御

2019-04-30

事件回顾

2019年4月16日,Oracle官方发布了2019年4月重要补丁更新公告,公告链接如下:

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

其中披露了Weblogic的多个漏远程代码执行漏洞,对应CVE编号为:CVE-2019-2658、CVE-2019-2646、CVE-2019-2645等;多个XXE漏洞,对应CVE编号为: CVE-2019-2647、CVE-2019-2648、CVE-2019-2649、CVE-2019-2650。此次更新的CVE列表链接如下:

https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html

网宿亮相亚马逊云峰会:解读如何构建安全可靠的云基础架构

2019年4月17日,中国国家信息安全漏洞共享平台(CNVD)发布了关于Oracle Weblogic wls9-async组件存在反序列化远程命令执行漏洞的安全公告(CNVD-C-2019-48814),利用该漏洞,可在未授权的情况下造成远程命令执行,公告链接如下:

http://www.cnvd.org.cn/webinfo/show/4989

4月26日,Oracle官方针对此漏洞发布了修复补丁,该漏洞编号为CVE-2019-2725,公告链接如下:

https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2725-5466295.html?from=timeline

漏洞描述
Oracle官方此次发布的安全预警公告中的CVE-2019-2658、CVE-2019-2646、CVE-2019-2645等漏洞,涉及Oracle Weblogic Server核心组件WLS和EJB Container,恶意攻击者可以通过调用HTTP、T3协议攻击默认监听的7001端口,利用漏洞工具可实现远程代码执行效果,建议尽快更新补丁和采取相应缓解措施。

网宿亮相亚马逊云峰会:解读如何构建安全可靠的云基础架构

CNVD-C-2019-48814、CVE-2019-2725:部分版本Weblogic Server中默认包含的wls9_async_response.war和wls-wsat.war存在反序列化远程命令执行漏洞,Oracle官方于4月27日发布补丁,建议尽快更新补丁和采取相应缓解措施。

影响版本

Weblogic远程代码执行漏洞CVE-2019-2646、CVE-2019-2645影响以下版本:

Oracle Weblogic Server 10.3.6.0.0版本、Oracle Weblogic Server 12.1.3.0.0版本和Oracle Weblogic Server 12.2.1.3.0版本;

Weblogic远程代码执行漏洞CNVD-C-2019-48814、CVE-2019-2725影响Weblogic 10.X和Weblogic 12.1.3两个版本。

漏洞复现

CNVD-C-2019-48814、CVE-2019-2725漏洞绕过CVE-2017-10271补丁的测试结果如下:

网宿亮相亚马逊云峰会:解读如何构建安全可靠的云基础架构

修复建议

针对Oracle官方发布的2019年4月安全更新公告的多个CVE修复建议:

1 升级补丁,使用Oracle官方安全补丁进行更新修复:https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

2 如果不依赖T3协议进行JVM通信,禁用T3协议:进入Weblogic控制台,在base_domain配置页面中,进入安全选项卡页面,配置筛选器,在连接筛选器中输入:weblogic.security.net.ConnectionFilterImpl,在连接筛选器规则框中输入:* * 7001 deny t3 t3s,保存后生效。

针对CNVD-C-2019-48814、CVE-2019-2725漏洞的修复建议:

1 Oracle官方已推出安全更新,请参考以下官方安全通告下载并安装最新补丁:

https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2725-5466295.html

2 如果明确不使用wls-wsat.war和bea_wls9_async_response.war,建议删除并重启Weblogic。

3 升级本地JDK版本:因为Weblogic所采用的是其安装文件中默认1.6版本的JDK文件,属于存在反序列化漏洞的JDK版本,因此升级到JDK7u21以上版本可以避免由于Java原生类反序列化漏洞造成的远程代码执行。

4 通过访问策略控制禁止/_async/* 与 /wls-wsat/* 路径的URL访问。

网宿云WAF可实时防护

网宿云WAF已于漏洞公开后的第一时间更新防护策略,为平台客户实时抵御威胁。同时,网宿云安全已开通漏洞响应快速通道,受本次漏洞影响的网站,可以致电网宿科技7*24小时客服热线(400 010 0617),在网宿安全专家的指导下快速接入网站,立即启动防护。

网宿云WAF能够防护已知的各类漏洞,同时,还可以基于对大量监控数据的实时分析,可以第一时间发现并防护新出现的漏洞,保障网站底层框架的安全。