WebLogic wls9-async反序列化0day漏洞，启明星辰提供解决方案2019-04-24 漏扫产品团队&金睛安全研究团队
2019年4月17日，国家信息安全漏洞共享平台（CNVD）收录了由中国民生银行股份有限公司报送的Oracle WebLogic wls9-async反序列化远程命令执行漏洞（CNVD-C-2019-48814）。攻击者利用该漏洞，可在未授权的情况下远程执行命令。目前，官方补丁尚未发布，仍属于0day漏洞。
WebLogic Server是美国甲骨文（Oracle）公司开发的一款适用于云环境和传统环境的应用服务中间件，它提供了一个现代轻型开发平台，支持应用从开发到生产的整个生命周期管理，并简化了应用的部署和管理。
wls9-async组件为WebLogic Server提供异步通讯服务，默认应用于WebLogic部分版本。由于该WAR包在反序列化处理输入信息时存在缺陷，攻击者通过发送精心构造的恶意 HTTP 请求，即可获得目标服务器的权限，在未授权的情况下远程执行命令。
wls9_async_response为异步通讯服务组件，用户可通过访问路径/_async/AsyncResponseService，判断该组件是否开启。若返回如下页面，则此组件开启。请相关用户引起关注，及时采取防护措施。
（1） 查找并删除wls9_async_response.war，wls-wsat.war并重启Weblogic服务；
（2）通过访问策略控制禁止 /_async/* 及 /wls-wsat/* 路径的URL访问。
（1）漏洞扫描：
启明星辰天镜脆弱性扫描与管理系统V6.0于2019年4月24日紧急发布针对该漏洞的升级包，支持对该漏洞进行检测，用户升级天镜漏扫产品漏洞库后即可对该漏洞进行扫描。6070版本升级包为607000216，升级包下载地址：
https://www.venustech.com.cn/article/type/1/146.html
请天镜脆弱性扫描与管理系统V6.0产品的用户尽快升级到最新版本，及时对该漏洞进行检测，以便尽快采取防范措施。
（2）已部署启明星辰IDS、IPS、WAF产品的客户请确认如下事件规则已经下发并应用，既可有效检测或阻断攻击。
