1. 红孩笔记首页
  2. 学习笔记

WebLogic中间件任意命令执行漏洞。

• 学习笔记, 安全 • 阅读 4279

file

一、背景简介

Weblogic是一款商用中间件应用服务器产品，可以为应用程序提供运行访问环境。

二、漏洞详情

公开日期：2022-07-29
漏洞编号：暂无
危害等级：高危
漏洞描述：由于没有过滤危险字符，导致攻击者可以对T3/IIOP接口发送恶意内容，执行任意命令。

三、影响版本

未知

四、处置情况

1.暴露在公网的WebLogic应配置对外禁用T3和IIOP，在不影响业务的情况下，T3和IIOP协议应只对内部可信主机段开放；
2.配置禁用方法：

a.配置WebLogic对外部禁用T3协议的具体步骤：

i.登入WebLogic控制台，在对应域设置中选择“安全”-“筛选器”选项卡：
ii.在“连接筛选器”输⼊框中输⼊：weblogic.security.net.ConnectionFilterImpl
在“连接筛选器规则”输入框中输入如下，即配置为仅允许本机使用T3/T3S协议通信，禁用除可信主机以外其他主机使用T3/T3S协议通信。

b.配置WebLogic禁用IIOP协议的具体步骤：
i.登入WebLogic控制台，在对应域设置中选择“环境”-“服务器”，并选中要设置的服务器。然后在对应服务器设置中选择“协议”-“IIOP”选项卡，并取消“启用IIOP”
前面的勾选，保存配置。

3.使用流量检测防护设备，检测T3/IIOP协议数据包中是否出现ForeignOpaqueReference关键词。

五、利用情况

在野利用，不公开POC。

发布者：小站，转转请注明出处：http://blog.gzcity.top/4754.html

赞 (0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
895
上一篇 2022年8月3日 16:26
下一篇 2022年8月3日 17:22

相关推荐

  • Simple Attribute-Based Access Control With Spring Security 安全

    Simple Attribute-Based Access Control With Spring Security

    Introduction Have you ever worked on software where the access rules are based not only on the user’s role but also on the specific entity that role was granted on (i.e. Scop…

    2022年5月3日
    72340

  • XSS Prevention Cheatsheet

    XSS, or Cross-Site Scripting, is one of the most common vulnerabilities found in applications. In bug bounty programs of different organizations, XSS consistently ranks as the most…

    安全 2022年5月3日
    1.2K360
  • Spring Boot Security + JWT ''Hello World'' Example 安全

    Spring Boot Security + JWT ”Hello World” Example

    In this tutorial, we will be developing a Spring Boot application that makes use of JWT authentication for securing an exposed REST API. In this example, we will be making use of h…

    2022年5月3日
    1.4K40

  • Go Application Vulnerability Cheatsheet

    Securing applications is not the easiest thing to do. An application has many components: server-side logic, client-side logic, data storage, data transportation, API, and more. Wi…

    安全 2022年5月3日
    1.8K70
  • 【Vue学习总结】3.绑定数据和对象、循环数组渲染数据 前端

    【Vue学习总结】3.绑定数据和对象、循环数组渲染数据

    接上篇《2. Vue目录结构分析》 上一篇我们主要讲解了Vue的目录分析，本篇我们主要来介绍Vue的基础语法，绑定数据、对象，以及如何循环数组和渲染数据。 前几篇我使用的代码编辑器是HBuilder： HBuilder主要用来开发手机APP端的前端页面比较方便，但由于我们主要目的是开发Web端，暂时不以Web app为主。所以目前比较好用的还是Visual …

    2022年7月7日
    1.0K320

回复 Sazrywy

您的邮箱地址不会被公开。 必填项已用 * 标注

评论列表（895条）