CVE-2021-2302 PoC — Oracle Fusion Middleware 输入验证错误漏洞

来源

https://github.com/quynhle7821/CVE-2021-2302

关联漏洞

标题: Oracle Fusion Middleware 输入验证错误漏洞 (CVE-2021-2302)
Description:Oracle Fusion Middleware（Oracle融合中间件）是美国甲骨文（Oracle）公司的一套面向企业和云环境的业务创新平台。该平台提供了中间件、软件集合等功能。 Oracle Fusion Middleware Oracle Platform Security for Java OPSS 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 存在输入验证错误漏洞，该漏洞允许未经身份验证的攻击者通过HTTP进行网络访问，从而危及Oracle平台对Java的安全性。导致Or

介绍

# CVE-2021-2302

Author: quynhle

Gadget chain
 
    javax.management.BadAttributeValueExpException.readObject()
      oracle.security.jps.az.internal.common.principals.toString()
	    oracle.security.jps.az.internal.common.principals.getResolvedPrincipal()
	         . . . con.newInstance() . . .
	      com.tangosol.coherence.mvel2.sh.ShellSession()
	      com.tangosol.coherence.mvel2.sh.ShellSession.exec()
	              . . . MVEL expression . . .
      --->   RCE
      
# Lab Environment
- Orace Weblogic Server: 12.1.2.3
- Oracle Business Intelligence: 12.1.2.4
- Oracle Database 19c

# PoC
![gif](https://user-images.githubusercontent.com/34308443/133580416-7373d471-98c9-44a6-b8a5-2248a14e1209.gif)

文件快照

登录后查看神龙缓存的 POC 文件快照

登录查看

备注

1. 建议优先通过来源进行访问。

2. 本地 POC 快照面向订阅用户开放；当原始来源失效或无法访问时，本地镜像作为订阅权益的一部分提供。

查看订阅方案 →

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

CVE-2021-2302 PoC — Oracle Fusion Middleware 输入验证错误漏洞

来源

关联漏洞

介绍

文件快照

备注

目标达成感谢每一位支持者 — 我们达成了 100% 目标！