CVE-2020-2883漏洞復現

簡介

在Oracle官方發布的2020年4月關鍵補丁更新公告CPU（Critical Patch Update）中，兩個針對 WebLogic Server ，CVSS 3.0評分為 9.8的嚴重漏洞（CVE-2020-2883、CVE-2020-2884），允許未經身份驗證的攻擊者通過T3協議網絡訪問並破壞易受攻擊的WebLogic Server，成功的漏洞利用可導致WebLogic Server被攻擊者接管，從而造成遠程代碼執行。

 

影響版本

· Oracle WebLogic Server 10.3.6.0.0

· Oracle WebLogic Server 12.1.3.0.0

· Oracle WebLogic Server 12.2.1.3.0

· Oracle WebLogic Server 12.2.1.4.0

環境搭建

java -jar fmw_12.1.3.0.0_wls.jar
我這裡使用得是12.1.3.0.0
選擇第三個選項，其他默認
遠程檢查
  Nmap工具提供了Weblogic T3協議的掃描腳本，可探測開啟T3服務的Weblogic主機。命令如下：
nmap -n -v -Pn -sV ip -p7001,7002 --script=weblogic-t3-info.nse
目標開啟了T3協議且Weblogic版本在受影響範圍之內，如果相關人員沒有安裝官方的安全補丁，則存在漏洞風險。
漏洞復現
Your-IP:7001/console打開網站即可
Poc地址：https://github.com/zhzyker/exphub
py -2 cve-2020-2883_cmd.py -u http://192.168.111.131:7001/ -c calc
執行腳本，返回計算器
修復建議

1、補丁升級
      Oracle目前已發布補丁修復了上述漏洞，請用戶參考官方通告及時下載受影響產品更新補丁，並參照補丁安裝包中的readme文件進行安裝更新，以保證長期有效的防護。
登錄Oracle用戶帳號登錄
https://support.oracle.com後，可以下載最新補丁。
2、臨時修復
如果用戶暫時無法安裝更新補丁，可通過下列措施對漏洞進行臨時防護：
用戶可通過控制T3協議的訪問來臨時阻斷針對利用T3協議漏洞的攻擊。Weblogic Server 提供了名為
weblogic.security.net.ConnectionFilterImpl 的默認連接篩選器，此連接篩選器接受所有傳入連接，可通過此連接篩選器配置規則，對T3及T3s協議進行訪問控制，詳細操作步驟如下：
進入Weblogic控制臺，在base_domain的配置頁面中，進入「安全」選項卡頁面，點擊「篩選器」，進入連接篩選器配置。
 在連接篩選器中輸入：
weblogic.security.net.ConnectionFilterImpl，參考以下寫法，在連接篩選器規則中配置符合企業實際情況的規則：
127.0.0.1 * * allow t3 t3s
本機IP * * allow t3 t3s
允許訪問的IP  * * allow t3 t3s
* * * deny t3 t3s
連接篩選器規則格式如下：
target localAddress localPort action protocols
其中：
· target 指定一個或多個要篩選的伺服器。
· localAddress 可定義伺服器的主機地址。(如果指定為一個星號 (*)，則返回的匹配結果將是所有本地 IP 地址。)
· localPort 定義伺服器正在監聽的埠。(如果指定了星號，則匹配返回的結果將是伺服器上所有可用的埠)。
· action 指定要執行的操作。(值必須為「allow」或「deny」。)
·protocols是要進行匹配的協議名列表。(必須指定下列其中一個議：http、https、t3、t3s、giop、giops、dcom 或 ftp。) 如果未定義協議，則所有協議都將與一個規則匹配。
最後保存重啟即可生效