【缝隙忠告】weblogic反序列化缝隙再度来袭
颁布功夫 2018-04-18对于使用中央件开发的用户来说，Weblogic已经算是个明星了，而weblogic框架中使用的序列化和反序列化技术又将它推到了高危产品的风口浪尖，成为黑客、恶意攻击者、犯法挖矿者的利器，2018年4月18日凌晨，又一枚编号为CVE-2018-2628的weblogic缝隙被爆出 。 以下为对该缝隙的报路：
缝隙响应功夫轴
受影响环境简介
WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中央件，WebLogic是用于开发、集成、部署和治理大型散布式Web利用、网络利用和数据库利用的Java利用服务器 。将Java的动态职能和Java Enterprise尺度的安全性引入大型网络利用的开发、集成、部署和治理之中 。
缝霞述
Oracle WebLogic Server的 WLS主题组件中存在安全缝隙 。远程攻击者可借助发送到TCP 7001端口的T3和谈流量中特造的序列化Java对象，利用该缝隙执行肆意号令 。
影响版本：
Weblogic 10.3.6.0
Weblogic 12.1.3.0
Weblogic 12.2.1.2
Weblogic 12.2.1.3
缝隙复现
构建POC，对指标机械发送检测数据，验证了局如下：
缝隙触发过程
第一步：利用T3和谈与指标机械成立衔接：
第二步：发送机关的要求数据：
第三步：凭据判断指标机械返回的数据来确定是否存在缝隙 。
产品解决规划
GA黄金甲天镜脆弱性扫描和治理系统第一功夫增长了针对该缝隙的检测步骤，请实时升级到升级至607000152-607000153升级包，对该缝隙进行扫描 。
升级包下载链接：
http://www.venustech.com.cn/DownFile/575/
关联缝隙支持情况
关于GA黄金甲
GA黄金甲漏扫产品中心聚焦于网络资产及服务的安全评估、检测和建复；研发了针对安全风险各个阶段的安全产品及服务；产品蕴含：天镜脆弱性扫描与治理系统、天镜web利用检测系统、天镜脆弱性扫描与治理系统-工控专用版、工控无损评估系统、缝隙建复治理系统、缝隙治理系统、工控缝隙挖掘系统；安全服务蕴含：网站监控服务、应急工具箱服务 。
对于使用中央件开发的用户来说，Weblogic已经算是个明星了，而weblogic框架中使用的序列化和反序列化技术又将它推到了高危产品的风口浪尖，成为黑客、恶意攻击者、犯法挖矿者的利器，2018年4月18日凌晨，又一枚编号为CVE-2018-2628的weblogic缝隙被爆出 。 以下为对该缝隙的报路：
缝隙响应功夫轴
受影响环境简介
WebLogic是美国Oracle公司出品的一个application server，确切的说是一个基于JAVAEE架构的中央件，WebLogic是用于开发、集成、部署和治理大型散布式Web利用、网络利用和数据库利用的Java利用服务器 。将Java的动态职能和Java Enterprise尺度的安全性引入大型网络利用的开发、集成、部署和治理之中 。
缝霞述
Oracle WebLogic Server的 WLS主题组件中存在安全缝隙 。远程攻击者可借助发送到TCP 7001端口的T3和谈流量中特造的序列化Java对象，利用该缝隙执行肆意号令 。
影响版本：
Weblogic 10.3.6.0
Weblogic 12.1.3.0
Weblogic 12.2.1.2
Weblogic 12.2.1.3
缝隙复现
构建POC，对指标机械发送检测数据，验证了局如下：
缝隙触发过程
第一步：利用T3和谈与指标机械成立衔接：
第二步：发送机关的要求数据：
第三步：凭据判断指标机械返回的数据来确定是否存在缝隙 。
产品解决规划
GA黄金甲天镜脆弱性扫描和治理系统第一功夫增长了针对该缝隙的检测步骤，请实时升级到升级至607000152-607000153升级包，对该缝隙进行扫描 。
升级包下载链接：
http://www.venustech.com.cn/DownFile/575/
关联缝隙支持情况
关于GA黄金甲
GA黄金甲漏扫产品中心聚焦于网络资产及服务的安全评估、检测和建复；研发了针对安全风险各个阶段的安全产品及服务；产品蕴含：天镜脆弱性扫描与治理系统、天镜web利用检测系统、天镜脆弱性扫描与治理系统-工控专用版、工控无损评估系统、缝隙建复治理系统、缝隙治理系统、工控缝隙挖掘系统；安全服务蕴含：网站监控服务、应急工具箱服务 。
京公网安备11010802024551号