漏洞应急-Oracle Weblogic Server远程代码执行漏洞（CVE-2021-2109）
近日，锐捷网络CERT安全应急响应团队关注到Oracle官方发布了2021年1月关键补丁更新公告，该补丁中修补了包括 CVE-2021-2109 Weblogic Server远程代码执行漏洞在内的多个高危严重漏洞。在CVE-2021-2109漏洞中，攻击者可构造恶意请求，造成JNDI注入、执行任意代码，从而控制服务器。
针对以上漏洞，锐捷安全能够进行漏洞扫描与检测，并做安全防护。
漏洞复现
环境：WebLogic10.3.6.0.0
访问控制台界面访问
http://192.168.102:49163/console即可看到页面
登录之后进入：
启动LDAP:
POC脚本:
启动POC，并发送：
受影响系统
Oracle WebLogic Server 14.1.1.0.0
Oracle WebLogic Server 12.2.1.4.0
Oracle WebLogic Server 12.2.1.3.0
Oracle WebLogic Server 12.1.3.0.0
Oracle WebLogic Server 10.3.6.0.0
官方补丁
Oracle已经为此发布了一个安全公告（2021-01-19）以及相应补丁:
2021-01-19：Oracle Critical Patch Update Advisory -January 2021
链接：https://www.oracle.com/security-alerts/cpujan2021.html
锐捷网络安全评估与检测、防护产品
| 产品 | 说明 |
RG-WALL系列下一代 防火墙 | 下一代防火墙结合防病毒以及威胁情报检测。在安全能力上，不仅支持NAT、ACL、DDoS防御等传统安全功能，也支持丰富的应用级安全功能，包括病毒查杀、入侵检测、APP检测、文件过滤、恶意URL过滤等。提供多维度的应用层监控与分析，帮助用户掌握风险，精准预警。 |
RG-IDP系列入侵检测 防御系统 | 锐捷网络推出的将深度内容检测、安全防护、上网行为管理等技术结合的入侵检测防御系统设备。通过对网络中深层攻击行为进行准确的分析判断，主动有效的保护网络安全。配合实时更新的入侵攻击特征库，可检测防护3500种以上的网络攻击行为，包含DoS/DDoS、病毒、蠕虫、僵尸网络、木马、可疑代码、探测与扫描等各种网络威胁。 |
| RG-Scan系列漏洞评估系统 | RG-Scan通过对系统漏洞、服务后门、网页挂马、SQL注入漏洞以及跨站脚本等攻击手段多年的研究积累，总结出了智能主机服务发现、智能化爬虫和SQL注入状态检测等技术，可以通过智能遍历规则库和多种扫描选项组合的手段，深入准确的检测出系统和网站中存在的漏洞和弱点。 |
| RG-WG WEBGuard应用保护系统 | 锐捷RG-WG WebGuard应用保护系统，通过对进出Web服务器的HTTP/HTTPS流量相关内容的实时分析检测、过滤，来精确判定并阻止各种Web应用入侵行为，阻断对Web服务器的恶意访问与非法操作。 |
其中，WEBGuard应用保护系统配置策略：
步骤1：登录WG WEB管理界面
步骤2：在“访问控制-URL黑名单”添加如下策略
| 源IP | 0.0.0.0 |
| Web主机 | 空 |
| URL | /console/consolejndi.portal |
步骤3：检查配置结果
安全建议
1. 禁用T3协议：
如果您不依赖T3协议进行JVM通信，可通过暂时阻断T3协议缓解此漏洞带来的影响
进入Weblogic控制台，在base_domain配置页面中，进入“安全”选项卡页面，点击“筛选器”，配置筛选器。
在连接筛选器中输入：weblogic.security.net.ConnectionFilterImpl，在连接筛选器规则框中输入：* * 7001 deny t3 t3s。
2. 禁止启用IIOP：
登陆Weblogic控制台，找到启用IIOP选项，取消勾选，重启生效。
3. 临时关闭后台/console/console.portal对外访问
团队介绍
锐捷网络CERT安全应急响应团队，跟踪最新互联网威胁事件，针对最新安全漏洞，APT攻击以及僵尸网络家族做实时跟踪和分析;为产品、客户提供实时、有效的安全防护策略与解决方案。
锐捷“网络+安全”主张将网络设备的安全能力充分发挥，网络设备、安全设备与安全平台智能联动，告别安全孤岛，构成整网联动的安全保障体系，实现防护、安全预测、分析和响应等安全问题自动化全流程闭环。
如您需要锐捷安全，请留下您的联系方式
相关阅读