[第一次更新][漏洞通告]CVE-2020-2555/Oracle Coherence&WebLogic反序列化远程代码执行漏洞

漏洞描述

近日,亚信安全网络攻防实验室监测到1月份被Oracle修复的基于T3协议触发的漏洞(CVE-2020-2555)细节在ZDI被公开.Oracle Coherence为Oracle融合中间件中的产品,是业界领先的内存数据网格解决方案,它能为公司和组织提供对常用数据的快速访问。在WebLogic 12c及以上版本中默认集成到WebLogic安装包中.Oracle Coherence中的反序列化远程代码执行漏洞允许未经身份验证的攻击者通过精心构造的T3网络协议请求进行攻击.成功利用该漏洞的攻击者可以在目标主机上执行任意OS命令,严重危害服务器安全.

漏洞编号

CVE-2020-2555

漏洞威胁等级

高危

影响范围

Oracle Coherence 3.7.1.17
Oracle Coherence&WebLogic 10.3.6
Oracle Coherence&WebLogic 12.1.3.0.0
Oracle Coherence&WebLogic 12.2.1.3.0
Oracle Coherence&WebLogic 12.2.1.4.0

漏洞验证

选用WebLogic 12.1.3为靶机进行验证

经过亚信安全网络攻防实验室分析和复现发现,实际上WebLogic 10.3.6也受到该漏洞影响.

该漏洞利用链中的两个类com.tangosol.util.extractor.ReflectionExtractor和com.tangosol.util.filter.LimitFilter存在于coherence.jar中,而10.3.6版本自带该jar.

以下为10.3.6的版本演示

修复建议

安装更新补丁即可
https://www.oracle.com/security-alerts/cpujan2020.html

时间轴

[0] 2020/03/05 Sivathmican Sivakumaran在ZDI公开漏洞细节
[1] 2020/03/06 亚信安全网络攻防实验室分析&复现该漏洞并发布漏洞通告
[2] 2020/03/07(凌晨) 亚信安全网络攻防实验室发现WebLogic 10.3.6同样受到影响并发布漏洞更新

鸣谢

感谢一起研究的以下小伙伴

Qianxin-Lufei/Ntears、
afanti
AlibabaCloud pyn3rd

Reference

https://www.zerodayinitiative.com/blog/2020/3/5/cve-2020-2555-rce-through-a-deserialization-bug-in-oracles-weblogic-server
https://mp.weixin.qq.com/s/nzKDO77tW-WVuPsgy3vrzg