CVE-2022-21445-for-12.2.1.3.0-Weblogic

Pre-Authentication-Remote-Codeausführungs-Exploit für Oracle WebLogic ADF Faces (CVE-2022-21445, CVSS 9.8). Enthält detaillierte Umgebungseinrichtung, Payload-Erzeugung und Remote-Debugging-Anweisungen für Penetrationstests.

1. Bereiten Sie einen Ordner für die Datenbankinstallation vor, erstellen Sie einen Pfad wie unten und entpacken Sie die heruntergeladene Datenbank-Zip-Datei in C:\app\oracle\product\19c\db_home1

2. Führen Sie die Datei setup.application als Administrator aus

3. Führen Sie die Schritte nacheinander gemäß der Anleitung unter Anleitung zur DB-Installation durch

4. Wichtiger Hinweis: Achten Sie bei Schritt 8/17 darauf, Create as Container database zu aktivieren, um eine pluggable DB für den bevorstehenden Fusion Middleware-Installationsprozess zu öffnen

Wählen Sie bei Schritt 9/17 als Zeichensatz Unicode (AL32UTF8)

5. Überprüfen Sie nach Abschluss der Installation in den Windows-Diensten sorgfältig, ob die 4 Hauptdienste wie im folgenden Bild den Status RUNNING haben

6. Erstellen Sie ein neues Oracle-Datenbankkonto gemäß den folgenden Schritten:

• Terminal Administrator -> sqlplus / as sysdba
• Systembenutzer anlegen: alter user system identified by system_password account unlock;
• Existenz des Systembenutzers prüfen: select username from dba_users;
• Umgebung einrichten: alter session set “_oracle_script”=true;
• Normalen Benutzer hr anlegen: create user hr identified by user_password;
• Berechtigungen erteilen: grant all privileges to hr;
• Konto entsperren – Passwort ändern: alter user hr identified by hr_pass account unlock;
• Neues Systemkonto anlegen: alter user sys identified by sys_pass account unlock;

Schritt 3: Installieren Sie SQL Developer, Version no-jre, Download-Link: SQLDev-NoJRE

• Führen Sie die Datei sqldeveloper.application als Administrator aus

• Richten Sie die Parameter für eine neue Verbindung wie im folgenden Bild ein. Achten Sie darauf, Benutzername und Passwort (wie im obigen Beispiel hr), Hostname (standardmäßig localhost), Port (standardmäßig 1521) und SID (der globalen Datenbankname aus Schritt 2) zu ändern.

• Wenn bei der Auswahl von Test die Meldung Success erscheint, ist die Verbindung erfolgreich. Wählen Sie Connect.

Schritt 4: Installieren Sie Fusion Middleware Infrastructure (FMW) Version 12.2.1.3.0, Download-Link: FMW_ver_12.2.1.3.0

• Erstellen Sie einen Pfad für das FMW-Installationsverzeichnis im Format C:\Oracle\Middleware\Oracle_Home
• Führen Sie die Schritte nacheinander gemäß der Anleitung durch: Anleitung zur FMW-Installation

Schritt 5: Installieren Sie Oracle Business Intelligence (OBIEE) Version 12.2.1.4.0, Download-Link: OBIEE_ver_12.2.1.4.0

• Führen Sie die Datei setup_bi_platform-12.2.1.4.0_win64.exe als Administrator aus

• Installieren Sie Schritt für Schritt gemäß Anleitung zur OBIEE-Installation

• Hinweis: Der BI-Pfad muss mit dem bereits installierten FMW-Pfad übereinstimmen, hier also Oracle/Middleware/Oracle_Home

Schritt 6: Richten Sie das BI-Schema mit dem Repository Creation Utility (RCU) ein

• Führen Sie im Pfad C:\Oracle\Middleware\Oracle_Home\oracle_common\bin die Datei rcu.bat als Administrator aus

• Führen Sie die folgenden Schritte nacheinander durch:

• Klicken Sie abschließend auf Create, um das BI-Schema zu erstellen

Schritt 7: Richten Sie die Umgebungsvariablen für OBIEE ein

• Gehen Sie zu Systemsteuerung > System > Erweiterte Systemeinstellungen > Erweitert > Umgebungsvariablen > Neue Systemvariable

Schritt 8: Erstellen Sie die BI-Domain

1. Führen Sie im Pfad C:\Oracle\Middleware\Oracle_Home\bi\bin die Datei config.cmd als Administrator aus

2. Wählen Sie in Schritt 1 alle 3 Komponenten aus, wobei Essbase der OLAP-Server, Business Intelligence Enterprise Edition BI Analytics und Business Intelligence Publisher BI Publisher ist

3. In Schritt 3: Richten Sie die neue Domain wie im folgenden Bild ein. !! MERKEN SIE SICH DAS PASSWORT FÜR DIE DOMAIN, DA ES SEHR SCHWIERIG IST, ES ZURÜCKZUSETZEN. und lassen Sie die Domain als bi, da dies der Standard ist.

4. In Schritt 4: Aktualisieren Sie die Domain-Informationen für die Datenbank

5. In Schritt 8: Wenn der Vorgang erfolgreich verläuft, wird das Ergebnis wie im folgenden Bild angezeigt

6. Wenn alles Done ist, speichern Sie die OBIEE-Informationsdatei für den nächsten Schritt. Melden Sie sich an der URL an:

• http://localhost:9500/console*
• http://localhost:9500/em*
• http://localhost:9502/xmlpserver*
• http://localhost:9502/analytics*

7. Einige mögliche Fehler

• Wenn in Schritt 4 das System "fail to logon" meldet, überprüfen Sie das Passwort der Domain auf Richtigkeit

• Wenn in Schritt 8 ein Fehler wie im folgenden Bild auftritt, überprüfen Sie, ob Ihre Windows-Lizenz aktiviert ist und ob Ihr Windows die beschriebenen Voraussetzungen erfüllt.

• Fehler "BI_HOME_PRODUCT nicht hinzugefügt", siehe Schritt 7
• Weitere Fehler werden aktualisiert...

Schritt 9: Nach Abschluss des Setups greifen Sie auf die neu erstellte BI-Domain unter dem Pfad $Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\adf.oracle.domain.webapp\i83uao zu

• Kopieren Sie alle jar-Dateien von hier in einen separaten Ordner und teilen Sie diesen mit der Angriffsmaschine (im Labor-Setup so vorgehen, bei einem echten Angriff muss auf der Angriffsmaschine ebenfalls eine Installation wie auf der Zielmaschine erfolgen, um den Quellcode zu erhalten)

• Fügen Sie zusätzlich die Bibliothek coherence.jar aus dem Pfad $Oracle_Home\coherence\lib zu diesem Ordner hinzu.

• Dieser Ordner ist entscheidend für den Erfolg des Payloads, da sich die Versionen von FMW oder BI sowie die Umgebung jeder Maschine unterscheiden können. Daher ist die genaue Version wichtig, um Risiken oder während der Payload-Übertragung auftretende Ausnahmen zu vermeiden.

Schritt 10 (nur durchführen, wenn Remote-Debugging erforderlich ist; noch einmal: Bei Tests in der realen Umgebung kann die Opfermaschine nicht nach Belieben eingerichtet werden, daher muss der Angreifer auch auf seiner Maschine die Zielmaschine einrichten, um per Remote-Debugging Fehler überprüfen zu können)

• Installieren Sie Mozilla, fügen Sie Burp-Proxy mit Port 8181 hinzu

• Aktivieren Sie Remote Debug auf dem BI-Server

  Greifen Sie auf localhost:9500/console zu

  Unter Domain Structure -> wählen Sie bi -> Environment -> Servers

Es werden zwei Server angezeigt: AdminServer von WebLogic und bi_server1 von BI

Wählen Sie Lock & Edit in der linken unteren Ecke, aktivieren Sie bi_server1, um die Konfiguration zu bearbeiten. Klicken Sie dann auf Configuration -> Server start -> Scrollen Sie nach unten, wählen Sie Advance (falls vorhanden) -> Wählen Sie "In Arguments eingeben" -> Geben Sie den Debug-Parameter ein:

-Xdebug -Xnoagent – Xrunjdwp:transport=dt_socket,address=5005,server=y,suspend=n

(Sie können es auch mit 0.0.0.0:5005 versuchen, falls später ein Fehler beim Neustart von bi_server1 auftritt)

Geben Sie das WebLogic-Passwort ein (das bei der BI-Domain-Konfiguration festgelegt wurde) -> Apply change & Restart

Öffnen Sie ein Terminal als Administrator -> Navigieren Sie zum Pfad $Oracle_Home\user_projects\domains\bi\bitools\bin und führen Sie ./stop.cmd und ./start.cmd aus, um bi_server1 neu zu starten. Wenn während des Neustarts kein Fehler auftritt, wurde das Debugging geöffnet und hört wie oben auf Port 5005. Tritt ein Fehler auf, überprüfen Sie die Debug-Parameter auf zusätzliche Leerzeichen oder Fehler im Adressteil.

Auf der Angriffsseite

Schritt 1: Laden Sie IntelliJ IDEA Ultimate herunter und aktivieren Sie es mit einem auf GitHub gefundenen Code.

Schritt 2 (Nur durchführen, wenn während des Angriffs ein Fehler wie 500 Server Error, ... auftritt; dies liegt an einer Ausnahme im Payload)

1. Passen Sie die jdk-/sdk-Version des Projekts an die der Zielmaschine an (Installation wie unter Zielseite - Schritt 1)

2. Erstellen Sie ein leeres Projekt zur Quellcode-Analyse für das Remote-Debugging. Fügen Sie alle jar-Dateien aus dem von der Zielmaschine erhaltenen Ordner zu diesem Projekt hinzu.

   Project Structure -> Modules -> Klicken Sie auf + -> 1 JARS or Directories -> Fügen Sie den gesamten jar-Ordner hinzu.

3. Richten Sie das Remote-Debugging ein

   Run -> Edit Configurations -> + -> Remote JVM Debug

Führen Sie das Remote-Debugging aus. Wenn in der Konsole "Connected ..." erscheint, war es erfolgreich.

Schritt 3:

• Klonen Sie den Code aus diesem Repository auf Ihren Rechner, löschen Sie die alte coherence.jar im lib-Ordner und ersetzen Sie sie durch die Datei, die Sie im vorherigen Schritt von der Zielmaschine erhalten haben.

• Fügen Sie anschließend ein Projekt hinzu, das mit IntelliJ ausgeführt wird, fügen Sie die jar-Dateien im lib mit der Option Add as library hinzu.

• Überprüfen Sie den Namen der Klasse LambdaIdentity$.... auf die richtige Weblogic-Version. Wenn sich dieser geändert hat, refaktorieren Sie die Datei und passen Sie den Namen an.

  Weblogic 12.2.1.3: LambdaIdentity$E12ECA49F06D0401A9D406B2DCC7463A

  Weblogic 12.2.1.4: LambdaIdentity$423B02C050017B24DB10DFF759AA56BF

• Ändern Sie den Pfad zur Datei LambdaIdentity$....class in der Datei Main.java. Um den genauen Pfad zu erhalten, gibt es zwei Möglichkeiten: Führen Sie javac auf die jar-Datei aus, um .class-Dateien zu generieren; eine andere Möglichkeit besteht darin, den Code der main-Funktion auszukommentieren, dann das Projekt normal auszuführen; der Klassenpfad ist im Verzeichnis target zu finden.

• Überprüfen Sie, ob jdk und sdk des Projekts mit denen der Zielmaschine übereinstimmen.

Code-Analyse von BI und des Payload-Codes

Analyse des BI-Codes

1. Im Pfad $Oracle\Middleware\Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\em\fw8wi5\war\WEB-INF

Wir sehen die Datei web.xml, die die Mapping-Beziehungen im Zusammenhang mit servlet-mapping beschreibt. "resources" ist ein Servlet, das mit Systemressourcen zusammenhängt und wichtige Daten und Informationen enthält, daher ist dies eine Stelle, die häufig von Angreifern anvisiert wird.

2. Geht man tiefer in die Klasse ResourceServlet, insbesondere org.apache.myfaces.trinidad.webapp.ResourceServlet, sieht man die Funktion doGet, die GET-Anfragen verarbeitet, die an den Server gesendet werden.

• Hier wird über die Methode _getResourceLoader() ein neuer Loader aus der eingehenden Anfrage erstellt. Gleichzeitig wird ein resourcePath initialisiert, der den servletPath und servletInfo über die Methode getResourcePath mit der Anfrage als Parameter erhält. Dieser Loader ruft die Funktion getResource(resourcePath) auf, versucht, die Ressource aus der Eingabeanforderung zu laden, und sucht sie über die Funktion org.apache.myfaces.trinidad.resource.ResourceLoader.getResource.findResource(). Schließlich wird der gefundene Wert an eine URL-Instanz der Klasse URL.class übergeben.

• _getResourceLoader verwaltet eine ConcurrentMap, um die Mapping-Beziehung zwischen servletPath und Loadern zu speichern. Diese Beziehung ist in oracle.adfinternal.view.resource.rich.RenderKitResourceLoader klar definiert

• Die Methode _register in der Funktion RenderKitResourceLoader() wird aufgerufen und erhält die entsprechenden Regex + Loader, dann gibt sie super.register zurück, die Elternfunktion. Diese Funktion fügt der concurrentmap_loaders den entsprechenden Partern und Loader hinzu. Wenn der Loader in der Funktion doGet() initialisiert wird und die Anfrage als Parameter erhält, wird der servletPath aus der eingehenden URL-Anfrage extrahiert, um ihn an _loader.get() zu übergeben und den entsprechenden Servlet zu erhalten.

• Der Autor der Schwachstelle geht davon aus, dass unter den Klassen, die die Methode findResource() überschreiben, oracle.adfinternal.view.resource.rich.RemoteApplicationResourceLoader die Klasse ist, die ein Risiko für Deserialisierung darstellt. Lassen Sie uns diese analysieren, um den Grund zu finden.

Analyse der Funktion findResource() in RemoteApplicationResourceLoader.class

Diese Funktion gibt eine Methode zurück, die ein benutzerdefiniertes Protokoll RAStreamHandler() enthält. RAStreamHandler erstellt ein URLConnection-Objekt mit dem Wert new RAURLConnection

Die Funktion RAURLConnection ruft die Funktion _getPathBean auf

Die Funktion _getPathBean enthält ein Bean-Objekt, das durch den Aufruf der Funktion getInstanceFromString() erstellt wird, die die eingehende Zeichenfolge verarbeitet, um die entsprechenden Schlüssel (Filter) zu extrahieren.

Die eingehende Bean-Zeichenfolge wird über die Klasse SerializationUtils von einer URL-kodierten Form in ein URLEncoderPathBean-Objekt umgewandelt. Wenn alles in Ordnung ist, wird die Eingabe weiter an die Funktion fromURLEncodeString() übergeben.

Falls die Eingabezeichenfolge auf einen Fehler stößt, wird eine Ausnahme ausgelöst. Die Ausnahme stammt hauptsächlich aus der im Payload verwendeten Bibliothek, aufgrund von Versionsunterschieden oder eines falschen Pfads zur Lambda-Datei.

In der Funktion fromURLEncodedString() wird eine Funktion fromString mit dem Parameter url zurückgegeben, deren Code wie folgt aussieht:

In der Funktion fromString werden Daten mit readObject() gelesen und zurückgegeben. Man sieht, dass die Eingabe von Anfang an nicht gefiltert wird, durch mehrere Funktionen läuft und schließlich in fromString() deserialisiert wird. Dies ist die Senke für die Ausnutzung. Nachdem die Senke gefunden ist, muss nun die Quelle gefunden werden.

3. Quelle finden: Wie oben analysiert, muss zur Auffindung der Quelle die eingehende URL-Anfrage identifiziert werden. Man sieht, dass zum Aufruf der Funktion findResource() die Berechtigung zur Weiterleitung an die Klasse RemoteApplicationResourceLoader erforderlich ist. In der Klasse RenderKitResourceLoader ist dies sehr klar definiert: *****************```bash this._register("/./remote/(.*)", new RemoteApplicationResourceLoader());