CVE-2024-21006-weblogic远程命令执行毛病

目录
前言
一、毛病利用原理
二、影响范围
三、情况搭建及毛病复现
四、检测与修复

---

前言

        Oracle WebLogic Server 存在远程命令执行毛病（CVE-2024-21006）,该毛病源于T3/IIOP协议存在缺陷，未经身份验证的攻击者可通过T3/IIOP协议受影响的服务器发送恶意的哀求，利用LDAP工具执行任意代码。

一、毛病利用原理

        该毛病存在于在weblogic.application.naming中。MessageDestination引用实例会调用weblogic.application.naming，可以控制MessageDestinationObjectFactory#getObjectInstance方法的obj参数，最终在MessageDestinationReference#lookupMessageDestination方法中进行JNDI攻击。攻击者通过ldap服务向weblogic注入经过base64编码恶意代码，后续对context.lookup（“xxx”）进行调用，此操纵将触发在 JNDI 上下文中查找绑定对象 （messageDestinationReference），该查找操纵经由恶意LDAP服务器处理则会触发任意代码执行。
二、影响范围

Weblogic 12.2.1.4.0,14.1.1.0.0
三、情况搭建及毛病复现

• 构建weblogic毛病情况   
  
  
  • 准备java情况,所需java版本为<=jdk 1.8_191 （版本过高无法利用乐成）
    
  • 官网下载weblogic 14.1.1.0.0/12.2.1.4.0安装文件或拉取docker镜像（摆设过程参考Weblogic摆设项目三种方式 - 疯子110 - 博客园 (cnblogs.com)）
    
  
  
• 下载IDEA，构建情况，用于运行exp   
  
  
  • 将运行该exp必要weblogic源码的jar包，若单独将weblogic.jar添加为依赖执行不乐成，必要下载整个weblogic源码。
    
  • exp下载链接：https://pan.baidu.com/s/1gaP2SK-b9pJ5AT7XWuhk_w?pwd=68tg 
    提取码：68tg
    
  • 打开exp项目，将weblogic.jar添加为项目依赖

    
    
    
  • 修改攻击目的

    
    
    
  • 可修改必要执行的命令，当前命令为calc.exe，base64编码。修改LDAP恶意服务器IP

    
    
    
  
  
• 下载LDAP恶意服务器工具（链接：https://github.com/WhiteHSBG/JNDIExploit）
  
• 运行工具，同时在IDEA启动exp项目
  
  1. java -jar JNDIExploit-1.4-SNAPSHOT.jar -i <监听IP>

  复制代码
  乐成在目的呆板弹出盘算器，攻击结果如下：
  

四、检测与修复

本地检测：
使用如下命令对 WebLogic 版本和补丁安装的情况进行排查：

1. $ cd /Oracle/Middleware/wlserver_10.3/server/lib
3. $ java -cp weblogic.jar weblogic.version

复制代码

在体现结果中，假如没有补丁安装的信息，则说明存在风险。
升级系统，参考官网：https://www.oracle.com/security-alerts/cpuapr2024.html