漏洞复现｜Oracle WebLogic Server JNDI注入漏洞(CVE-2024-20931)
内容提要
本文介绍了Oracle Fusion Middleware和Oracle WebLogic Server存在的安全漏洞，攻击者可以利用该漏洞访问敏感数据。漏洞复现和修复建议也在文章中提到。
延伸解读
漏洞影响范围与风险
该漏洞影响Oracle Fusion Middleware 14.1.1.0.0和12.2.1.4.0版本中的WebLogic Server组件。攻击者能够利用此漏洞访问敏感数据，可能造成信息泄露。由于WebLogic Server广泛应用于企业环境，未及时修补的系统将面临持续风险。
复现环境与关键步骤
复现需使用Docker环境，拉取ismaleiva90/weblogic12镜像并映射7001和7002端口。访问控制台后，运行提供的POC代码，通过T3协议连接目标，利用ForeignOpaqueReference类注入JNDI环境，触发DNSlog回显以验证漏洞存在。注意正确加载依赖文件。
修复建议与补丁获取
Oracle已发布安全补丁修复此漏洞，用户应尽快升级至最新版本。补丁可通过Oracle官方安全公告（cpujan2024）获取，也可参考GitHub上的相关分析和利用代码链接，以及漏洞作者的详细分析文章，以全面了解漏洞细节和修复方案。
Q&A
CVE-2024-20931漏洞影响哪些Oracle产品版本？
该漏洞影响Oracle Fusion Middleware的Oracle WebLogic Server 12.2.1.4.0版本和14.1.1.0.0版本。
如何复现CVE-2024-20931漏洞？
复现需要搭建Docker环境，拉取ismaleiva90/weblogic12镜像并运行容器，映射7001和7002端口。然后使用提供的POC代码，修改目标URL和DNSlog地址，执行Java代码。如果DNSlog收到请求，则漏洞存在。
CVE-2024-20931漏洞的修复建议是什么？
厂商已发布升级补丁修复漏洞，补丁获取链接为：https://www.oracle.com/security-alerts/cpujan2024.html。此外，也可参考GitHub上的相关资源。
CVE-2024-20931漏洞利用的JNDI注入涉及哪些关键类？
漏洞利用涉及weblogic.deployment.jms.ForeignOpaqueReference类，通过反射设置其jndiEnvironment和remoteJNDIName属性，然后通过JNDI rebind和lookup触发。
如何验证CVE-2024-20931漏洞是否存在？
可以通过DNSlog回显验证。执行POC代码后，如果DNSlog平台收到请求，则说明漏洞存在。
CVE-2024-20931漏洞可能造成什么危害？
攻击者利用该漏洞可以访问敏感数据。
