WebLogic wls9-async反序列化远程下令执行误差清静通告
宣布时间 2019-04-18误差编号和级别
CVD编号：CNVD-C-2019-48814，，，，，，危险级别：高危，，，，，，CVSS分值：官方未评定
影响版本
WebLogic 10.X
WebLogic 12.1.3
误差概述
2019年4月17日，，，，，，国家信息清静误差共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程下令执行误差（CNVD-C-2019-48814）。。。。攻击者使用该误差，，，，，，可在未授权的情形下远程执行下令。。。。现在，，，，，，官方补丁尚未宣布，，，，，，误差细节未果真。。。。
WebLogic Server是美国甲骨文（Oracle）公司开发的一款适用于云情形和古板情形的应用效劳中心件，，，，，，它提供了一个现代轻型开发平台，，，，，，支持应用从开发到生产的整个生命周期治理，，，，，，并简化了应用的安排和治理。。。。
部分版本WebLogic中默认包括的wls9_async_response包，，，，，，为WebLogic Server提供异步通讯效劳。。。。由于该WAR包在反序列化处置惩罚输入信息时保存缺陷，，，，，，攻击者可以发送全心结构的恶意 HTTP 请求，，，，，，获得目的效劳器的权限，，，，，，在未授权的情形下远程执行下令。。。。
CNVD秘书处对WebLogic效劳在全球规模内的漫衍情形举行剖析，，，，，，效果显示该效劳的全球用户规模约为6.9万，，，，，，其中位于我国境内的用户规模约为2.9万。。。。
CNVD秘书处组织手艺实力举行手艺检测，，，，，，发明我国境内WebLogic用户中，，，，，，共有461个网站受此误差影响，，，，，，所占比例为1.6%，，，，，，该比例远低于我平台在2018年4月18日收录的WebLogic Server反序列化误差（CNVD-2018-07811）的影响规模。。。。
CNVD国家误差库将对发明保存误差网站的单位举行转达，，，，，，实时消除误差攻击威胁。。。。
误差验证
暂无POC、EXP。。。。
误差检查要领
翻开URL（http://IP:端口/_async/），，，，，，提醒过失403且含有“From RFC 2068 Hypertext Transfer Protocol -- HTTP/1.1:”?可判断保存Oracle Oracle WebLogic wls9-async反序列化远程下令执行误差。。。。
修复建议
现在，，，，，，Oracle官方暂未宣布补丁�。。。�，，，，，暂时解决计划如下：
1、 删除该war包（bea_wls9_async_response.war）并重启webLogic；；；；；；
2、 通过会见战略控制榨取 /_async/* 路径的URL会见。。。。
建议使用WebLogic Server构建网站的信息系统运营者举行自查，，，，，，发明保存误差后，，，，，，凭证暂时解决计划实时举行修复。。。。
参考链接
http://www.cnvd.org.cn/webinfo/show/4989
|
+886 12345678 +886 12345678
|
|
上海 地点：中国·上海
|
京公网安备11010802024551号