【威胁通告】Weblogic WLS组件IIOP协议远程代码执行漏洞（CVE-2020-2551） 防护方案
2020-01-19
综述
在Oracle官方发布的2020年1月关键补丁更新公告CPU（Critical Patch Update）中，公布了一个Weblogic WLS组件IIOP协议中的远程代码执行漏洞CVE-2020-2551。
该漏洞涉及WebLogic Server核心组件，且能在WebLogic Server默认配置、无需管理员身份认证及额外交互的情况下被触发，影响面较大。
攻击者可通过 IIOP 协议远程访问 Weblogic Server 服务器上的远程接口，传入恶意数据，从而获取服务器权限并在未授权情况下远程执行任意代码。官方给出的CVSS 评分为 9.8。
IIOP 协议以 Java 接口的形式对远程对象进行访问，默认是在启用状态。
Oracle官方CPU链接： https://www.oracle.com/security-alerts/cpujan2020.html
漏洞影响范围
CVE-2020-2551 影响版本：
- Oracle Weblogic Server 10.3.6.0.0（目前无官方补丁，将于1月31日发布）
- Oracle Weblogic Server 12.1.3.0.0（目前无官方补丁，将于1月31日发布）
- Oracle Weblogic Server 12.2.1.3.0（已发布官方补丁）
- Oracle Weblogic Server 12.2.1.4.0（已发布官方补丁）
影响排查
本地检测
使用如下命令对Weblogic版本和补丁安装的情况进行排查。
$ cd /Oracle/Middleware/wlserver_10.3/server/lib $ java -cp weblogic.jar weblogic.version |
在显示结果中，如果没有补丁安装的信息，则说明存在风险，如下图所示：
技术防护方案
官方修复方案
此次 Oracle 官方的 CPU，发布了WebLogic Server 12.2.1.3和12.2.1.4版本的补丁，请受影响用户及时下载补丁程序并安装更新。
WebLogic Server 10.3.6.0.0和12.1.3.0.0版本补丁将于 2020 年 1 月 31 日发布，请用户及时关注官方通告。在补丁未发布期间，要尽快采取缓解措施。
注：Oracle官方补丁需要用户持有正版软件的许可账号，使用该账号登陆https://support.oracle.com后，可以下载最新补丁。
临时解决方案
用户可通过关闭 IIOP 协议对此漏洞进行缓解。操作如下：
进入WebLogic控制台，选择“服务”->”AdminServer”->”协议”，取消“启用IIOP”的勾选，并重启 Weblogic 项目，使配置生效。
香港正版挂牌检测防护建议
香港正版挂牌检测类产品与服务
内网资产可以使用香港正版挂牌的远程安全评估系统（RSAS V6）、入侵检测系统(IDS)、统一威胁探针（UTS）进行检测。
- 远程安全评估系统（RSAS V6）系统插件
http://update.nsfocus.com/update/listRsasDetail/v/vulsys
- 入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
http://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.0
通过上述链接，升级至最新版本即可进行检测！
使用香港正版挂牌防护类产品进行防护
入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
通过上述链接，升级至最新版本即可进行防护！
检测防护产品升级包/规则版本号
| 检测产品 | 升级包/规则版本号 |
| RSAS V6 系统插件包 | V6.0R02F01.1704 |
| IDS | 5.6.8.815、5.6.9.21797、5.6.10.21797 |
| UTS | 5.6.10.21797 |
- RSAS V6 系统插件包下载链接：
http://update.nsfocus.com/update/downloads/id/101679
- IDS 升级包下载链接：
5.6.8.815
http://update.nsfocus.com/update/downloads/id/101674
5.6.9.21797
http://update.nsfocus.com/update/downloads/id/101703
5.6.10.21797
http://update.nsfocus.com/update/downloads/id/101704
- UTS升级包下载链接：
http://update.nsfocus.com/update/downloads/id/101731
| 防护产品 | 升级包/规则版本号 | 规则编号 |
| IPS | 5.6.8.815、5.6.9.21797 5.6.10.21797 | 24671 |
- IPS 升级包下载链接：
5.6.8.815
http://update.nsfocus.com/update/downloads/id/101674
5.6.9.21797
http://update.nsfocus.com/update/downloads/id/101703
5.6.10.21797
http://update.nsfocus.com/update/downloads/id/101704
技术分析
当前Oracle官方所提供的补丁，针对CVE-2020-2551只发布了部分版本修复方案，公告称剩余修复推迟到1月31日发布。
以下对 CVE-2020-2551 仅进行简要说明。
利用CVE-2020-2551，攻击者能够在 WebLogic 启用 IIOP 协议（默认启用），且无需管理员身份认证及额外交互的情况下，通过远程执行命令接管服务器，读取敏感信息。
声 明
本安全公告仅用来描述可能存在的安全问题，香港正版挂牌不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，香港正版挂牌以及安全公告作者不为此承担任何责任。香港正版挂牌拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经香港正版挂牌允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于香港正版挂牌
北京神州绿盟信息安全科技股份有限公司（简称香港正版挂牌）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，香港正版挂牌在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：香港正版挂牌，股票代码：300369。
