WebLogic中间件任意命令执行漏洞。

file

一、背景简介

Weblogic是一款商用中间件应用服务器产品,可以为应用程序提供运行访问环境。

二、漏洞详情

公开日期:2022-07-29
漏洞编号:暂无
危害等级:高危
漏洞描述:由于没有过滤危险字符,导致攻击者可以对T3/IIOP接口发送恶意内容,执行任意命令。

三、影响版本

未知

四、处置情况

1.暴露在公网的WebLogic应配置对外禁用T3和IIOP,在不影响业务的情况下,T3和IIOP协议应只对内部可信主机段开放;
2.配置禁用方法:

a.配置WebLogic对外部禁用T3协议的具体步骤:

i.登入WebLogic控制台,在对应域设置中选择“安全”-“筛选器”选项卡:
ii.在“连接筛选器”输⼊框中输⼊:weblogic.security.net.ConnectionFilterImpl
在“连接筛选器规则”输入框中输入如下,即配置为仅允许本机使用T3/T3S协议通信,禁用除可信主机以外其他主机使用T3/T3S协议通信。

b.配置WebLogic禁用IIOP协议的具体步骤:
i.登入WebLogic控制台,在对应域设置中选择“环境”-“服务器”,并选中要设置的服务器。然后在对应服务器设置中选择“协议”-“IIOP”选项卡,并取消“启用IIOP”
前面的勾选,保存配置。

3.使用流量检测防护设备,检测T3/IIOP协议数据包中是否出现ForeignOpaqueReference关键词。

五、利用情况

在野利用,不公开POC。

发布者:小站,转转请注明出处:http://blog.gzcity.top/4754.html

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022年8月3日 16:26
下一篇 2022年8月3日 17:22

相关推荐

  • Java调用PhantomJs将网页转换成PDF或者长图片

    PhantomJS 是一个基于WebKit的服务器端 JavaScript API。它全面支持web而不需浏览器支持,其快速,原生支持各种Web标准: DOM 处理, CSS 选择器, JSON, Canvas, 和 SVG。PhantomJS可以用于页面自动化,网络监测,网页截屏,以及无界面测试等。 需要先安装好phantomjs 执行使用到JS渲染加载,…

    2022年5月31日
    61120
  • Java多线程方式快速解析大量文本内容得到pdf链接转换为文本-学习笔记

    Java多线程方式快速解析大量文本内容得到pdf链接转换为文本-学习笔记 解析流程: 1、一个目录里面包含大量多种格式文件;2、从目录中提取txt为后缀的文件路径List;3、根据服务器性能设定多线程处理文本数量;4、txt文本中获取所有的链接;5、通过正则提取后缀为.pdf链接;6、下载pdf文件到本地;7、使用开源工具把pdf转换为txt内容;获取链接正…

    2022年5月2日
    9.1K11830
  • ChatGPT对话:结婚视频制作是用了什么技术呢,有很多平台上给用户提供个视频模板,然后把自己图片上传上去就可以自动化生成一个视频,背后的技术是什么呢?

    问:结婚视频制作是用了什么技术呢,有很多平台上给用户提供个视频模板,然后把自己图片上传上去就可以自动化生成一个视频,背后的技术是什么呢?详细说明下 答:结婚视频制作通常涉及到多个技术领域,包括视频编辑、图像处理、人工智能等。在现代科技的支持下,许多平台都能够通过提供视频模板、自动化生成等方式来帮助用户制作结婚视频。 具体来说,结婚视频制作平台的背后技术主要包…

    2023年2月17日
    11.0K11280
  • Java性能调优:优化正则表达式的匹配效率

    在我们的日常业务开发中经常会涉及到使用正则表达式对数据进行处理,比如String的Split()方法,它根据方法中传入的正则表达式对字符串做分割处理。 但是我们是否真的了解正则表达式,它是如何匹配的?不同的匹配方式会带来怎样的效率差别?怎样才能做到效率最优? 本篇就对“如何优化正则表达式的匹配效率?”做深入探讨。   一、匹配的三种方式 看下面这个例子,我们…

    2022年7月6日
    74430
  • chrome怎么导入证书 chrome导入证书的图文步骤

    我们在使用谷歌浏览器时,有时需要导入证书,但是很多人不知道怎么操作,那么Google浏览器怎么导入证书呢,下面本文就介绍一下。 我的Chrome的版本是 1.首先,打开电脑上面的Google之后,点击浏览器右上角的“三个点”按钮,如图所示。 2.然后选择下拉菜单中的“设置”,进入Google的系统设置,如图所示。 3.进入Google的设置之后,点击&quo…

    2022年9月13日
    78010

回复 Sazrfjo

您的邮箱地址不会被公开。 必填项已用 * 标注

评论列表(895条)