WebLogic中间件任意命令执行漏洞。

file

一、背景简介

Weblogic是一款商用中间件应用服务器产品,可以为应用程序提供运行访问环境。

二、漏洞详情

公开日期:2022-07-29
漏洞编号:暂无
危害等级:高危
漏洞描述:由于没有过滤危险字符,导致攻击者可以对T3/IIOP接口发送恶意内容,执行任意命令。

三、影响版本

未知

四、处置情况

1.暴露在公网的WebLogic应配置对外禁用T3和IIOP,在不影响业务的情况下,T3和IIOP协议应只对内部可信主机段开放;
2.配置禁用方法:

a.配置WebLogic对外部禁用T3协议的具体步骤:

i.登入WebLogic控制台,在对应域设置中选择“安全”-“筛选器”选项卡:
ii.在“连接筛选器”输⼊框中输⼊:weblogic.security.net.ConnectionFilterImpl
在“连接筛选器规则”输入框中输入如下,即配置为仅允许本机使用T3/T3S协议通信,禁用除可信主机以外其他主机使用T3/T3S协议通信。

b.配置WebLogic禁用IIOP协议的具体步骤:
i.登入WebLogic控制台,在对应域设置中选择“环境”-“服务器”,并选中要设置的服务器。然后在对应服务器设置中选择“协议”-“IIOP”选项卡,并取消“启用IIOP”
前面的勾选,保存配置。

3.使用流量检测防护设备,检测T3/IIOP协议数据包中是否出现ForeignOpaqueReference关键词。

五、利用情况

在野利用,不公开POC。

发布者:小站,转转请注明出处:http://blog.gzcity.top/4754.html

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022年8月3日 16:26
下一篇 2022年8月3日 17:22

相关推荐

  • Java性能调优:优化正则表达式的匹配效率

    在我们的日常业务开发中经常会涉及到使用正则表达式对数据进行处理,比如String的Split()方法,它根据方法中传入的正则表达式对字符串做分割处理。 但是我们是否真的了解正则表达式,它是如何匹配的?不同的匹配方式会带来怎样的效率差别?怎样才能做到效率最优? 本篇就对“如何优化正则表达式的匹配效率?”做深入探讨。   一、匹配的三种方式 看下面这个例子,我们…

    2022年7月6日
    74320
  • MySql 计算两个日期的时间差函数

    MySql计算两个日期的时间差函数 MySql计算两个日期的时间差函数TIMESTAMPDIFF用法:语法:TIMESTAMPDIFF(interval,datetime_expr1,datetime_expr2) 说明:返回日期或日期时间表达式datetime_expr1 和datetime_expr2the 之间的整数差。其结果的单位由interval …

    2022年12月15日
    17.3K43350
  • Git clone代码报“fatal: Out of memory, malloc failed (tried to allocate xxxx bytes)”的解决办法

    问题描述: 之前clone代码的时候一直没问题,今天clone代码的时候突然报错“fatal: Out of memory, malloc failed (tried to allocate 1058576000 bytes)”。 按报错的理解就是本机的内存不足了,查看了本机运行的服务和进程,没有可以停掉的服务和进程,那该怎么办呢? 查询资料都说的是因为GI…

    2023年3月21日
    11.3K16110
  • yum命令提示error: rpmdb: BDB0113 Thread/process,解决方法

    Executing docker install script, commit: 3d8fe77c2c46c5b7571f94b42793905e5b3e42e4sh -c ‘yum install -y -q yum-utils’error: rpmdb: BDB0113 Thread/process 7689/140162110208064 failed…

    学习笔记 2023年1月6日
    5.2K7510
  • Using HTTPS to Secure Your Websites: An Intro to Web Security

    More and more sites are switching to HTTPS. And with good reason! Security is essential in today’s complex web ecosystem: logins, online payment systems, and personal user in…

    2022年5月3日
    23.0K41310

回复 Rodolfohoche

您的邮箱地址不会被公开。 必填项已用 * 标注

评论列表(895条)