WebLogic CVE-2018-2628反序列化漏洞复现

宣布时间 2018-04-18

一、漏洞描述

        2018年4月18日凌晨 ，Oracle官方宣布了4月份的宁静补丁更新CPU（Critical Patch Update） ，更新中修复了一个高危WebLogic反序列化漏洞CVE-2018-2628（CNVD-2018-07811、CNNVD-201804-803）。攻击者可以在未授权的情况下通过T3协议对存在漏洞的WebLogic组件进行远程攻击 ，并可获取目标系统所有权限。

        Oracle官方宣布的漏洞信息如下图所示：

东森·(中国区)官方网站

二、漏洞验证

        东森平台ADLab第一时间对CVE-2018-2628进行了跟踪分析 ，并乐成复现了该漏洞。复现结果如下所示：

东森·(中国区)官方网站

三、漏洞影响

        该漏洞影响WebLogic 10.3.6.0、WebLogic 12.1.3.0、WebLogic 12.2.1.2、WebLogic 12.2.1.3多个版本。目前已经发现针对该漏洞的利用要领 ，利用要领较为简单 ，危害较大 ，相关用户及厂商应引起重视。

四、漏洞修复

        Oracle官方已宣布针对该漏洞的补丁 ，可更新官方最新的补丁。Oracle官方补丁需要用户持有正版软件的许可帐号 ，使用许可帐号登陆 https://support.oracle.com 后 ，可以下载最新补丁。

        几点建议：

        1、升级JDK版本。由于Java在今年一月份以后更新了反序列化防御接口 ，可以缓解反序列化漏洞的影响。

        2、升级WebLogic、删除不需要的页面 ，清理不宁静的第三方库。

        3、禁用T3协议。


漏洞链接：

http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html