wls 漏洞预警| Weblogic wls-wsat远程命令执行（哨兵云支持检测）

WebLogic Server是美国Oracle公司开发的应用服务中间件，适用于云环境和传统环境。它提供了一个现代化的轻量级开发平台，支持应用从开发到生产的全生命周期管理，简化了应用的部署和管理流程。

最近，一些安全研究人员发现Weblogic wls-wsat组件中存在高风险的远程命令执行漏洞。

Moan技术的哨兵云资产风险监控系统支持检测此漏洞。

如果您的企业存在相关风险，可以联系我们协助检测是否受到此类漏洞的影响，避免攻击者恶意利用，造成品牌和经济损失。

漏洞描述

WebLogic中默认包含Wls-wast包，由于这个WAR包在处理XML输入信息上存在缺陷，攻击者可以发送精心构造的恶意HTTP请求，获得目标服务器的权限，未经授权远程执行命令。也就是说，攻击者可以直接获得服务器系统的权限，窃取数据，甚至威胁受害者内网的安全。

受影响的版本

Weblogic 10.3。*

Weblogic 12.1.3

漏洞检测

目前，Moan技术的哨兵云资产风险监控系统已经通过安装相关应急插件(目前只有哨兵云saas支持)来支持检测，如下图所示。

漏洞修复

以下是临时处置方法:

1.配置网址访问控制策略

部署在公共网络中的WebLogic服务器可以禁止通过ACL访问/_async/*和/wls-wsat/*路径。

2.删除不安全的文件

请删除wls9_async_response.war和wls-wsat.war文件及相关文件夹，然后重新启动Weblogic服务。具体文件路径如下:

10.3.*版本:

中间件 wlserver _ 10.3 服务器lib

% DOMAIN _ HOME % servers AdminServer tmp _ WL _ internal

% DOMAIN _ HOME % servers AdminServer tmp 。内部

12.1.3版本:

中间件 Oracle _ Home oracle _ common 模块

% DOMAIN _ HOME % servers AdminServer tmp 。内部

% DOMAIN _ HOME % servers AdminServer tmp _ WL _ internal

注意:

Wls9_async_response.war和wls-wsat.war属于一级应用程序包，删除或重命名它们可能会导致未知的后果，因此Oracle不建议进行此类操作。

如果直接删除该包时应用出现问题，将无法获得Oracle产品部门的技术支持。

请自行进行影响评估，并在执行此操作之前备份此文件。

建议使用WebLogic Server搭建网站的信息系统运营商进行自查，根据临时解决方案及时修复漏洞。

请密切关注甲骨文7月份的官方补丁公告。