CVE-2023-21931｜Oracle WebLogic ServerJNDI 注入远程代码执行漏洞

0x00 前言

WebLogic是美国Oracle公司出品的一个application server，是一个基于JAVAEE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。

0x01 漏洞描述

CVE-2023-21931漏洞触发点在WLNamingManager类的getObjectInstance()方法中。

当传入的boundObject对象为LinkRef的实现类时，调用传入对象boundObject的getLinkName()方法，通过lookup()方法对getLinkName返回的linkAddrType地址进行远程JNDI加载（） 方法。

在实例化 LinkRef 类时，可以通过该类的构造函数将 JNDI 地址传递给 linkAddrType。这样我们就可以调用lookup()方法远程加载一个自定义的JNDI地址，达到攻击的目的。

0x02 漏洞编号

CVE-2023-21931

0x03 影响版本

WebLogic 12.2.1.3.0、12.2.1.4.0、14.1.1.0.0

FOFA Query：
(body="Welcome to WebLogic Server") || (title=="Error 404--Not Found") || (((body="<h1>BEA WebLogic Server" || server="Weblogic" || body="content="WebLogic Server" || body="<h1>Welcome to Weblogic Application" || body="<h1>BEA WebLogic Server") && header!="couchdb" && header!="boa" && header!="RouterOS" && header!="X-Generator: Drupal") || (banner="Weblogic" && banner!="couchdb" && banner!="drupal" && banner!=" Apache,Tomcat,Jboss" && banner!="ReeCam IP Camera" && banner!="<h2>Blog Comments")) || (port="7001" && protocol=="weblogic")

0x04 漏洞分析

https://github.com/gobysec/Weblogic

0x05 修复建议

1.及时更新

https://www.oracle.com/security-alerts/cpuapr2023.html

2.禁用T3协议，或者对协议端口进行严格的权限控制。

0x06 历史漏洞

https://www.seebug.org/appdir/WebLogic

原文始发于微信公众号（信安百科）：CVE-2023-21931｜Oracle WebLogic ServerJNDI 注入远程代码执行漏洞