WebLogic wls9-async反序列化远程号令执行缝隙安全公告
颁布功夫 2019-04-18缝隙编号和级别
CVD编号：：CNVD-C-2019-48814，危险级别：：高危，CVSS分值：：官方未评定
影响版本
WebLogic 10.X
WebLogic 12.1.3
缝隙概述
2019年4月17日，国度信息安全缝隙共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程号令执行缝隙（CNVD-C-2019-48814）�！�。攻击者利用该缝隙，可在未授权的情况下远程执行号令�！�。目前，官方补丁尚未颁布，缝隙细节未公开�！�。
WebLogic Server是美国甲骨文（Oracle）公司开发的一款合用于云环境和传统环境的利用服务中央件，它提供了一个现代轻型开发平台，支持利用从开发到出产的整个性命周期治理，并简化了利用的部署和治理�！�。
部门版本WebLogic中默认蕴含的wls9_async_response包，为WebLogic Server提供异步通佩服务�！�。由于该WAR包在反序列化处置输入信息时存在缺点，攻击者能够发送精心机关的恶意 HTTP 要求，获得指标服务器的权限，在未授权的情况下远程执行号令�！�。
CNVD秘书处对WebLogic服务在全球领域内的散布情况进行分析，了局显示该服务的全球用户规模约为6.9万，其中位于我国境内的用户规模约为2.9万�！�。
CNVD秘书处组织技术力量进行技术检测，发现我国境内WebLogic用户中，共有461个网站受此缝隙影响，所占比例为1.6%，该比例远低于我平台在2018年4月18日收录的WebLogic Server反序列化缝隙（CNVD-2018-07811）的影响领域�！�。
CNVD国度缝隙库将对发现存在缝隙网站的单元进行传递，实时解除缝隙攻击威胁�！�。
缝隙验证
暂无POC、、、EXP�！�。
缝隙查抄步骤
打开URL（http://IP:端口/_async/），提醒谬误403且含有“From RFC 2068 Hypertext Transfer Protocol -- HTTP/1.1:”?可判断存在Oracle Oracle WebLogic wls9-async反序列化远程号令执行缝隙�！�。
修复建议
目前，Oracle官方暂未颁布补丁，一时解决规划如下：：
1、、、 删除该war包（bea_wls9_async_response.war）并重启webLogic；；；
2、、、 通过接见战术节制不容 /_async/* 蹊径的URL接见�！�。
建议使用WebLogic Server构建网站的信息系统运营者进行自查，发现存在缝隙后，依照一时解决规划实时进行修复�！�。
参考链接
http://www.cnvd.org.cn/webinfo/show/4989
|
+886 12345678 +886 12345678
|
|
上海 地址：：中国·上海
|
京公网安备11010802024551号