WebLogic wls9-async反序列化远程下令执行误差清静通告
宣布时间 2019-04-18误差编号和级别
CVD编号：CNVD-C-2019-48814，，，，危险级别：高危，，，，CVSS分值：官方未评定
影响版本
WebLogic 10.X
WebLogic 12.1.3
误差概述
2019年4月17日，，，，国家信息清静误差共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程下令执行误差（CNVD-C-2019-48814） 。。攻击者使用该误差，，，，可在未授权的情形下远程执行下令 。。现在，，，，官方补丁尚未宣布，，，，误差细节未果真 。。
WebLogic Server是美国甲骨文（Oracle）公司开发的一款适用于云情形和古板情形的应用效劳中心件，，，，它提供了一个现代轻型开发平台，，，，支持应用从开发到生产的整个生命周期治理，，，，并简化了应用的安排和治理 。。
部分版本WebLogic中默认包括的wls9_async_response包，，，，为WebLogic Server提供异步通讯效劳 。。由于该WAR包在反序列化处置惩罚输入信息时保存缺陷，，，，攻击者可以发送全心结构的恶意 HTTP 请求，，，，获得目的效劳器的权限，，，，在未授权的情形下远程执行下令 。。
CNVD秘书处对WebLogic效劳在全球规模内的漫衍情形举行剖析，，，，效果显示该效劳的全球用户规模约为6.9万，，，，其中位于我国境内的用户规模约为2.9万 。。
CNVD秘书处组织手艺实力举行手艺检测，，，，发明我国境内WebLogic用户中，，，，共有461个网站受此误差影响，，，，所占比例为1.6%，，，，该比例远低于我平台在2018年4月18日收录的WebLogic Server反序列化误差（CNVD-2018-07811）的影响规模 。。
CNVD国家误差库将对发明保存误差网站的单位举行转达，，，，实时消除误差攻击威胁 。。
误差验证
暂无POC、EXP 。。
误差检查要领
翻开URL（http://IP:端口/_async/），，，，提醒过失403且含有“From RFC 2068 Hypertext Transfer Protocol -- HTTP/1.1:”?可判断保存Oracle Oracle WebLogic wls9-async反序列化远程下令执行误差 。。
修复建议
现在，，，，Oracle官方暂未宣布补丁，，，，暂时解决计划如下：
1、 删除该war包（bea_wls9_async_response.war）并重启webLogic；；；
2、 通过会见战略控制榨取 /_async/* 路径的URL会见 。。
建议使用WebLogic Server构建网站的信息系统运营者举行自查，，，，发明保存误差后，，，，凭证暂时解决计划实时举行修复 。。
参考链接
http://www.cnvd.org.cn/webinfo/show/4989
|
+886 12345678 +886 12345678
|
|
上海 地点：中国·上海
|
京公网安备11010802024551号