WebLogic中间件任意命令执行漏洞。

file

一、背景简介

Weblogic是一款商用中间件应用服务器产品,可以为应用程序提供运行访问环境。

二、漏洞详情

公开日期:2022-07-29
漏洞编号:暂无
危害等级:高危
漏洞描述:由于没有过滤危险字符,导致攻击者可以对T3/IIOP接口发送恶意内容,执行任意命令。

三、影响版本

未知

四、处置情况

1.暴露在公网的WebLogic应配置对外禁用T3和IIOP,在不影响业务的情况下,T3和IIOP协议应只对内部可信主机段开放;
2.配置禁用方法:

a.配置WebLogic对外部禁用T3协议的具体步骤:

i.登入WebLogic控制台,在对应域设置中选择“安全”-“筛选器”选项卡:
ii.在“连接筛选器”输⼊框中输⼊:weblogic.security.net.ConnectionFilterImpl
在“连接筛选器规则”输入框中输入如下,即配置为仅允许本机使用T3/T3S协议通信,禁用除可信主机以外其他主机使用T3/T3S协议通信。

b.配置WebLogic禁用IIOP协议的具体步骤:
i.登入WebLogic控制台,在对应域设置中选择“环境”-“服务器”,并选中要设置的服务器。然后在对应服务器设置中选择“协议”-“IIOP”选项卡,并取消“启用IIOP”
前面的勾选,保存配置。

3.使用流量检测防护设备,检测T3/IIOP协议数据包中是否出现ForeignOpaqueReference关键词。

五、利用情况

在野利用,不公开POC。

发布者:小站,转转请注明出处:http://blog.gzcity.top/4754.html

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022年8月3日 16:26
下一篇 2022年8月3日 17:22

相关推荐

  • 从mysql 到kingbase(人大金仓)

    一、背景介绍 公司主要做toG 的项目,经常服务于各个地方政府。之前某省会城市下属区县项目,需要将已交付的项目中所使用到的各类中间件全部替换为国产,其中就包括了数据库的替换。项目中一直使用的是mysql数据库,后经商务调研及选型,决定替换为国产数据库 kingBase (人大金仓数据库),并由我负责所有应用的代码迁移工作。 我们的项目采用的是springCl…

    2023年7月31日
    7.3K00
  • Spring Cloud Alibaba版本对应关系

    版本依赖关系(推荐使用) 由于 Spring Boot 2.4+ 和以下版本之间变化较大,目前企业级客户老项目相关 Spring Boot 版本仍停留在 Spring Boot 2.4 以下,为了同时满足存量用户和新用户不同需求,社区以 Spring Boot 2.4 为分界线,同时维护 2.2.x 和 2021.x 两个分支迭代。 2021.x 分支 适配…

    Java 2022年6月28日
    13.7K32920
  • Implementing JWT Authentication on Spring Boot APIs

    Securing Restful APIs With JWTs JSON Web Tokens, commonly known as JWTs, are tokens that are used to authenticate users on applications. This technology has gained popularity over …

    安全 2022年5月3日
    95650
  • TLS/SSL Explained: TLS/SSL Terminology and Basics

    In Part 1 this series we asked, What is TLS/SSL? In this part in the series, we will be describing some of the TLS/SSL terminologies. Before diving deeper into TLS, let’s first hav…

    2022年5月3日
    971610
  • Java中StringBuilder的常用方法

    在程序开发过程中,我们常常碰到字符串连接的情况,方便和直接的方式是通过"+"符号来实现,但是这种方式达到目的的效率比较低,且每执行一次都会创建一个String对象,即耗时,又浪费空间。使用StringBuilder类就可以避免这种问题的发生,下面就Stringbuilder的使用做个简要的总结: 一、创建Stringbuilder对象St…

    Java 2022年7月5日
    1.5K610

回复 snyatie zapoya na domy_iyMi

您的邮箱地址不会被公开。 必填项已用 * 标注

评论列表(895条)