【威胁通告】Weblogic WLS组件IIOP协议远程代码执行漏洞（CVE-2020-2551）防护方案

2020-01-19

综述

在Oracle官方发布的2020年1月关键补丁更新公告CPU（Critical Patch Update）中，公布了一个Weblogic WLS组件IIOP协议中的远程代码执行漏洞CVE-2020-2551。

该漏洞涉及WebLogic Server核心组件，且能在WebLogic Server默认配置、无需管理员身份认证及额外交互的情况下被触发，影响面较大。

攻击者可通过 IIOP 协议远程访问 Weblogic Server 服务器上的远程接口，传入恶意数据，从而获取服务器权限并在未授权情况下远程执行任意代码。官方给出的CVSS 评分为 9.8。

IIOP 协议以 Java 接口的形式对远程对象进行访问，默认是在启用状态。

Oracle官方CPU链接： https://www.oracle.com/security-alerts/cpujan2020.html

漏洞影响范围

CVE-2020-2551 影响版本：

Oracle Weblogic Server 10.3.6.0.0（目前无官方补丁，将于1月31日发布）
Oracle Weblogic Server 12.1.3.0.0（目前无官方补丁，将于1月31日发布）
Oracle Weblogic Server 12.2.1.3.0（已发布官方补丁）
Oracle Weblogic Server 12.2.1.4.0（已发布官方补丁）

影响排查

本地检测

使用如下命令对Weblogic版本和补丁安装的情况进行排查。

$ cd /Oracle/Middleware/wlserver_10.3/server/lib $ java -cp weblogic.jar weblogic.version

在显示结果中，如果没有补丁安装的信息，则说明存在风险，如下图所示：

技术防护方案

官方修复方案

此次 Oracle 官方的 CPU，发布了WebLogic Server 12.2.1.3和12.2.1.4版本的补丁，请受影响用户及时下载补丁程序并安装更新。

WebLogic Server 10.3.6.0.0和12.1.3.0.0版本补丁将于 2020 年 1 月 31 日发布，请用户及时关注官方通告。在补丁未发布期间，要尽快采取缓解措施。

注：Oracle官方补丁需要用户持有正版软件的许可账号，使用该账号登陆https://support.oracle.com后，可以下载最新补丁。

临时解决方案

用户可通过关闭 IIOP 协议对此漏洞进行缓解。操作如下：

进入WebLogic控制台，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选，并重启 Weblogic 项目，使配置生效。

海王捕鱼检测防护建议

海王捕鱼检测类产品与服务

内网资产可以使用海王捕鱼的远程安全评估系统（RSAS V6）、入侵检测系统(IDS)、统一威胁探针（UTS）进行检测。

远程安全评估系统（RSAS V6）系统插件

http://update.nsfocus.com/update/listRsasDetail/v/vulsys

入侵检测系统（IDS）

http://update.nsfocus.com/update/listIds

http://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.0

通过上述链接，升级至最新版本即可进行检测！

使用海王捕鱼防护类产品进行防护

入侵防护系统（IPS）

http://update.nsfocus.com/update/listIps

通过上述链接，升级至最新版本即可进行防护！

检测防护产品升级包/规则版本号

检测产品	升级包/规则版本号
RSAS V6 系统插件包	V6.0R02F01.1704
IDS	5.6.8.815、5.6.9.21797、5.6.10.21797
UTS	5.6.10.21797

RSAS V6 系统插件包下载链接：

http://update.nsfocus.com/update/downloads/id/101679

IDS 升级包下载链接：

5.6.8.815

http://update.nsfocus.com/update/downloads/id/101674

5.6.9.21797

http://update.nsfocus.com/update/downloads/id/101703

5.6.10.21797

http://update.nsfocus.com/update/downloads/id/101704

UTS升级包下载链接：

http://update.nsfocus.com/update/downloads/id/101731

防护产品	升级包/规则版本号	规则编号
IPS	5.6.8.815、5.6.9.21797 5.6.10.21797	24671

IPS 升级包下载链接：

5.6.8.815

http://update.nsfocus.com/update/downloads/id/101674

5.6.9.21797

http://update.nsfocus.com/update/downloads/id/101703

5.6.10.21797

http://update.nsfocus.com/update/downloads/id/101704

技术分析

当前Oracle官方所提供的补丁，针对CVE-2020-2551只发布了部分版本修复方案，公告称剩余修复推迟到1月31日发布。

以下对 CVE-2020-2551 仅进行简要说明。

利用CVE-2020-2551，攻击者能够在 WebLogic 启用 IIOP 协议（默认启用），且无需管理员身份认证及额外交互的情况下，通过远程执行命令接管服务器，读取敏感信息。

声明

本安全公告仅用来描述可能存在的安全问题，海王捕鱼不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海王捕鱼以及安全公告作者不为此承担任何责任。海王捕鱼拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经海王捕鱼允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。