【误差忠言】weblogic反序列化误差再度来袭

宣布时间 2018-04-18

关于使用中心件开发的用户来说，，，，，，，Weblogic已经算是个明星了，，，，，，，而weblogic框架中使用的序列化和反序列化手艺又将它推到了高危产品的风口浪尖，，，，，，，成为黑客、恶意攻击者、不法挖矿者的利器，，，，，，，2018年4月18日破晓，，，，，，，又一枚编号为CVE-2018-2628的weblogic误差被爆出。。。。。。。以下为对该误差的报道：

误差响应时间轴

Z6·尊龙凯时「中国区」官方网站

受影响情形简介

WebLogic是美国Oracle公司出品的一个application server，，，，，，，确切的说是一个基于JAVAEE架构的中心件，，，，，，，WebLogic是用于开发、集成、安排和治理大型漫衍式Web应用、网络应用和数据库应用的Java应用效劳器。。。。。。。将Java的动态功效和Java Enterprise标准的清静性引入大型网络应用的开发、集成、安排和治理之中。。。。。。。

误差形貌

Oracle WebLogic Server的 WLS焦点组件中保存清静误差。。。。。。。远程攻击者可借助发送到TCP 7001端口的T3协议流量中特制的序列化Java工具，，，，，，，使用该误差执行恣意下令。。。。。。。

影响版本：

Weblogic 10.3.6.0

Weblogic 12.1.3.0

Weblogic 12.2.1.2

Weblogic 12.2.1.3

误差复现

构建POC，，，，，，，对目的机械发送检测数据，，，，，，，验证效果如下：

Z6·尊龙凯时「中国区」官方网站

误差触发历程

第一步：应用T3协议与目的机械建设毗连：

Z6·尊龙凯时「中国区」官方网站

第二步：发送结构的请求数据：

Z6·尊龙凯时「中国区」官方网站

第三步：凭证判断目的机械返回的数据来确定是否保存误差。。。。。。。

产品解决计划

Z6尊龙凯时天镜懦弱性扫描和治理系统第一时间添加了针对该误差的检测要领，，，，，，，请实时升级到升级至607000152-607000153升级包，，，，，，，对该误差举行扫描。。。。。。。

Z6·尊龙凯时「中国区」官方网站

升级包下载链接：

http://www.venustech.com.cn/DownFile/575/

关联误差支持情形

Z6·尊龙凯时「中国区」官方网站

关于Z6尊龙凯时

Z6尊龙凯时漏扫产品中心聚焦于网络资产及效劳的清静评估、检测和修复；；；；；研发了针对清静危害各个阶段的清静产品及效劳；；；；；产品包括：天镜懦弱性扫描与治理系统、天镜web应用检测系统、天镜懦弱性扫描与治理系统-工控专用版、工控无损评估系统、误差修复治理系统、误差治理系统、工控误差挖掘系统；；；；；清静效劳包括：网站监控效劳、应急工具箱效劳。。。。。。。

Z6·尊龙凯时「中国区」官方网站