CVE-2024-21006-weblogic远程命令执行毛病
目录前言
一、毛病利用原理
二、影响范围
三、情况搭建及毛病复现
四、检测与修复
前言
Oracle WebLogic Server 存在远程命令执行毛病（CVE-2024-21006）,该毛病源于T3/IIOP协议存在缺陷，未经身份验证的攻击者可通过T3/IIOP协议受影响的服务器发送恶意的哀求，利用LDAP工具执行任意代码。
一、毛病利用原理
该毛病存在于在weblogic.application.naming中。MessageDestination引用实例会调用weblogic.application.naming，可以控制MessageDestinationObjectFactory#getObjectInstance方法的obj参数，最终在MessageDestinationReference#lookupMessageDestination方法中进行JNDI攻击。攻击者通过ldap服务向weblogic注入经过base64编码恶意代码，后续对context.lookup（“xxx”）进行调用，此操纵将触发在 JNDI 上下文中查找绑定对象 （messageDestinationReference），该查找操纵经由恶意LDAP服务器处理则会触发任意代码执行。
二、影响范围
Weblogic 12.2.1.4.0,14.1.1.0.0
三、情况搭建及毛病复现
[*]构建weblogic毛病情况
[*]准备java情况,所需java版本为<=jdk 1.8_191 （版本过高无法利用乐成）
[*] 官网下载weblogic 14.1.1.0.0/12.2.1.4.0安装文件或拉取docker镜像（摆设过程参考Weblogic摆设项目三种方式 - 疯子110 - 博客园 (cnblogs.com)）
[*]下载IDEA，构建情况，用于运行exp
[*] 将运行该exp必要weblogic源码的jar包，若单独将weblogic.jar添加为依赖执行不乐成，必要下载整个weblogic源码。
[*] exp下载链接：https://pan.baidu.com/s/1gaP2SK-b9pJ5AT7XWuhk_w?pwd=68tg
提取码：68tg
[*] 打开exp项目，将weblogic.jar添加为项目依赖https://img-blog.csdnimg.cn/direct/98cee8e332144c0d9a54b9ac2bd5a681.png
[*] 修改攻击目的https://img-blog.csdnimg.cn/direct/508d47825ece4cb286cd256805d894ad.png
[*] 可修改必要执行的命令，当前命令为calc.exe，base64编码。修改LDAP恶意服务器IPhttps://img-blog.csdnimg.cn/direct/8c97720038064b3ab325c66645fed8f9.png
[*]下载LDAP恶意服务器工具（链接：https://github.com/WhiteHSBG/JNDIExploit）
[*] 运行工具，同时在IDEA启动exp项目
java -jar JNDIExploit-1.4-SNAPSHOT.jar -i <监听IP> 乐成在目的呆板弹出盘算器，攻击结果如下：
https://img-blog.csdnimg.cn/direct/0cb3942e327e49f9a8961bacb073b951.png
https://img-blog.csdnimg.cn/direct/2ae3939622b64d1393ad8b29b6bb6fed.png
四、检测与修复
本地检测：
使用如下命令对 WebLogic 版本和补丁安装的情况进行排查：
$ cd /Oracle/Middleware/wlserver_10.3/server/lib
$ java -cp weblogic.jar weblogic.version 在体现结果中，假如没有补丁安装的信息，则说明存在风险。
升级系统，参考官网：https://www.oracle.com/security-alerts/cpuapr2024.html
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]