【原创缝隙】WebLogic Blind XXE缝隙公告（CVE-2020-14820）

颁布功夫 2020-10-22

缝隙概述

 

Oracle官方颁布了10月份的安全补丁, 补丁中蕴含OG东方厅ADLab发现并第一功夫提交给官方的缝隙 ，，缝隙编号为CVE-2020-14820。 。。通过该缝隙 ，，攻击者能够在未授权的情况下将payload封装在T3或IIOP和谈中 ，，通过对和谈中的payload进行反序列化 ，，从而实现对存在缝隙的WebLogic组件进行远程Blind XXE攻击。 。。


缝隙功夫轴


2020年5月11日 ，，ADLab将缝隙详情提交给Oracle官方；

2020年5月12日 ，，Oracle官方确认缝隙存在并起头着手修复；

2020年10月21日 ，，Oracle官方颁布安全补丁。 。。


受影响版本 


Weblogic 10.3.6.0.0

Weblogic 12.1.3.0.0

Weblogic 12.2.1.3.0

Weblogic 12.2.1.4.0

Weblogic 14.1.1.0.0


1.png


缝隙利用 


测试环境：：WebLogicServer 10.3.6.0.0

缝隙利用成效：：



2.png


躲避规划 


1、、、升级补丁

https://www.oracle.com/security-alerts/cpuoct2020.html


2、、、节制T3和谈的接见


具体操作：：

1）进入WebLogic节制台 ，，在base_domain的配置页面中 ，，进入“安全”选项卡页面 ，，点击“筛选器” ，，进入衔接筛选器配置。 。。

2)在衔接筛选器中输入：：weblogic.security.net.ConnectionFilterImpl ，，在衔接筛选器规定中输入：：127.0.0.1 * * allow t3t3s ，，0.0.0.0/0 * *deny t3 t3s(t3和t3s和谈的所有端口只允许本地接见)。 。。

3）保留后需重新启动 ，，规定方可生效。 。。


3.png


3、、、不容启用IIOP和谈


登陆WebLogic节制台 ，，base_domain >服务器概要 >AdminServer


4.png


OG东方厅积极防御尝试室（ADLab）


DLab成立于1999年 ，，是中国安全行业最早成立的攻防技术钻研尝试室之一 ，，微软MAPP打算主题成员 ，，“黑雀攻击”概念首推者。 。。截止目前 ，，ADLab已通过CVE累计颁布安全缝隙近1100个 ，，通过 CNVD/CNNVD累计颁布安全缝隙900余个 ，，持续维持国际网络安全领域一流水准。 。。尝试室钻研方向涵盖操作系统与利用系统安全钻研、、、移动智能终端安全钻研、、、物联网智能设备安全钻研、、、Web安全钻研、、、工控系统安全钻研、、、云安全钻研。 。。钻研成就利用于产品主题技术钻研、、、国度重点科技项目攻关、、、专业安全服务等。 。。


5.jpg