安全研究所 | JNDI注入的一种新攻击面-CVE-2024-20931分析

Oracle官方发布的2024年1月补丁修复了Weblogic T3\IIOP协议的远程命令执行漏洞CVE-2024-20931。该漏洞由亿格云安全研究员Glassy在2023年10月提交给Oracle。补丁限制了绑定ForeignOpaqueReference对象时对jndiEnvironment中providerURL的设置，并对lookup的JNDI链接的协议做了严格限制。漏洞的挖掘还有可能通过寻找其他实现OpaqueReference接口的类的getReferent函数，绕过补丁中的JNDIUtils.isValidJndiScheme函数，以及在java.naming.provider.url为空的情况下寻求代码执行的可能性。