{"id":349,"date":"2019-01-17T17:12:25","date_gmt":"2019-01-17T16:12:25","guid":{"rendered":"https:\/\/corsaire-consulting.fr\/blog\/?p=349"},"modified":"2019-01-27T17:58:05","modified_gmt":"2019-01-27T16:58:05","slug":"securite-des-serveurs-et-la-necessite-de-les-patcher","status":"publish","type":"post","link":"https:\/\/corsaire-consulting.fr\/blog\/index.php\/2019\/01\/17\/securite-des-serveurs-et-la-necessite-de-les-patcher\/","title":{"rendered":"S\u00e9curit\u00e9 des serveurs et la n\u00e9cessit\u00e9 de les patcher"},"content":{"rendered":"

Lors de mes diff\u00e9rentes interventions, j’essaie de sensibiliser les clients \u00e0 la n\u00e9cessit\u00e9 de prendre en compte la s\u00e9curit\u00e9 des serveurs J2EE. Je dis bien \u00ab\u00a0j’essaie\u00a0\u00bb car bon nombre d’entre eux ne me semblent pas totalement conscients des risques. Sous pr\u00e9texte d’\u00eatre cach\u00e9s derri\u00e8re une arm\u00e9e de pare-feux certains pensent \u00eatre \u00e0 l’abri d’attaques sur leurs serveurs d’applications.<\/p>\n

 <\/p>\n

Au travers de cet article je souhaite montrer la simplicit\u00e9 avec laquelle il est possible d’ex\u00e9cuter du code sur un serveur distant via une simple requ\u00eate HTTP.<\/p>\n

<\/p>\n

La \u00ab\u00a0faille\u00a0\u00bb que j’utilise pour les besoins de la d\u00e9monstration est la CVE-2017-10271<\/a>
Publi\u00e9e en octobre 2017, cette faille concerne Oracle WebLogic Server pour les versions 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0 et 12.2.1.2.0
Les versions ant\u00e9rieurs \u00e0 la 10.3.6 sont sans doutes concern\u00e9es mais Oracle ne fournit aucune informations sur ces versions pour lesquelles il n’existe plus de support.<\/p>\n

La CVE-2017-10271<\/a> indique un vecteur d’attaque par le protocole interne de WebLogic \u00ab\u00a0T3\u00a0\u00bb mais c’est bien une simple requ\u00eate HTTP qui permet \u00e0 un attaquant de d\u00e9clencher l’ex\u00e9cution d’un code sur un serveur distant.<\/p>\n

Les informations indiqu\u00e9es dans cet article ont pour unique vocation d’instruire le lecteur et de le sensibiliser \u00e0 la s\u00e9curit\u00e9 des serveurs. Ces informations sont publiques et disponibles depuis plusieurs mois sur internet. Ces informations ne sauraient \u00eatre utilis\u00e9es \u00e0 des fins malveillantes.<\/div>\n

Le vecteur est donc une requ\u00eate HTTP. La cible de la requ\u00eate est une application web d\u00e9ploy\u00e9e en interne par WebLogic : wls-wsat<\/p>\n

WSAT est l’acronyme de Web Services Atomic Transactions<\/a>. Ce composant permet une interop\u00e9rabilit\u00e9 de la stack web service de WebLogic avec d’autres syst\u00e8mes transactionnels comme .NET ou WebSphere par exemple. Il \u00e9tend les capacit\u00e9s de l’impl\u00e9mentation JAX-WS de WebLogic Server.<\/p>\n

D\u00e9monstration<\/h1>\n

Les chapitres montrent comment effectuer l’attaque sur un serveur WebLogic en fonctionnement.<\/p>\n

La faille exploit\u00e9e<\/h2>\n

Pour une \u00e9ni\u00e8me fois la faille porte sur la d\u00e9s\u00e9rialisation des objets Java. V\u00e9ritable cauchemar depuis son apparition dans Java, sa capacit\u00e9 de s\u00e9rialisation\/d\u00e9serialisation des objets ne fait que poser des probl\u00e8mes en terme de s\u00e9curit\u00e9. Le probl\u00e8me vient de la d\u00e9s\u00e9rialisation des objets qui ne contr\u00f4le pas ce quelle cr\u00e9\u00e9e comme types d’objets au sein de la JVM. Ajout\u00e9 \u00e0 cela les capacit\u00e9s d’introspection de la JVM et vous avez une parfaite bo\u00eete \u00e0 outils pour hacker.<\/p>\n

L’environnement<\/h2>\n

Serveur d’application : WebLogic Server 10.3.6.0.0<\/p>\n

Un domaine WebLogic avec 1 ou plusieurs serveurs en mode PRODUCTION.<\/p>\n

Syst\u00e8me d’exploitation : A votre convenance<\/p>\n

Outils :<\/p>\n