Oracle WebLogic 远程命令执行0day漏洞

回复
雷雨
论坛版主
论坛版主
帖子: 440
注册时间: 周一 2月 13, 2017 11:34 am

Oracle WebLogic 远程命令执行0day漏洞

帖子 雷雨 » 周日 4月 28, 2019 5:14 pm

CVSS分值: 无
CVSS: 无
披露时间: 2019-04-17
CVE ID: 无
简介:2019年4月18日,烈火科技安全应急响应中心监测到Oracle WebLogic 在野0day命令执行漏洞。黑客利用漏洞可能可以远程获取WebLogic服务器权限,风险极大。
详情:bea_wls9_async_response组件处理请求不当,未经授权的攻击者可以发送精心构造的恶意 HTTP 请求,获取服务器权限,实现远程代码执行。烈火科技安全应急响应中心已捕获该0day漏洞利用方式,漏洞真实存在且风险极大。烈火科技安全应急响应中心提醒WebLogic用户尽快使用以下安全修复方案阻止漏洞攻击。

安全修复建议

注:以下任意一种修复方式都有可能造成业务不可用

一、删除bea_wls9_async_response相关组件并重启WebLogic,如:bea_wls9_async_response.war和com.oracle.webservices.wls.bea-wls9-async-response_*.war

二、通过访问控制策略禁止互联网对/_async/*路径的访问

三、禁止WebLogic端口对外

回复