WebLogic 任意文件上传远程代码实行漏洞安全通告

发布时间 2018-07-19
漏洞编号和级别

CVE-2018-2894  厂商自评:9.8  CVSS分值:官方未评定


影响范围
受影响版本:
WebLogic 10.3.6.0
WebLogic 12.1.3.0
WebLogic 12.2.1.2

WebLogic 12.2.1.3


漏洞概述
Oracle官方发布了7月份的关键补丁更新CPU(Critical Patch Update),其中针对可造成远程代码实行的高危漏洞 CVE-2018-2894 进行修复:http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html。
今天7月19号国家互联网应急中心CNCERT发出通告,指出CVE-2018-2894本质上为任意文件上传漏洞:https://mp.weixin.qq.com/s/y5JGmM-aNaHcs_6P9a-gRQ。
WebLogic管理端未授权的两个页面存在任意上传getshell漏洞,可直接获取权限。两个页面分别为/ws_utc/begin.do,/ws_utc/config.do。
ws_utc为WebLogic Web服务测试客户端,其配置页面存在未授权访问的问题,路径为/ws_utc/config.do。

 


攻击者通过访问此配置页面,先更改工作目录,用有效的WebLogic Web路径替换存储JKS Keystores的文件目录,然后在上传JKS Keystores时上传恶意的JSP脚本文件。访问最终的JSP文件路径地址,即可做到代码实行:

 


攻击者通过利用此漏洞,即可在远程且未经授权的情况下在WebLogic服务器上实行任意代码。


修复建议
1. 此漏洞本质是文件上传,使用澳门浦京娱乐场安全产品的客户无需升级补丁即可防御webshell上传。

2. 使用Oracle官方安全布丁进行更新修复:http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html。


参考链接
http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html
https://mp.weixin.qq.com/s/y5JGmM-aNaHcs_6P9a-gRQ