Oracle के "WebLogic Server" में RCE का पता लगाना CVE-2020-14882 / CVE-2020-14750

सारांश:

CVE-2020-14882 और CVE-2020-14750 का दोहन करने के प्रयासों का पता लगाना - Oracle के WebLogic Server में बिना प्रमाणीकरण के RCE।

संदर्भ:

Oracle की सलाहकारियाँ:

• CVE-2020-14882 https://www.oracle.com/security-alerts/cpuoct2020traditional.html
• CVE-2020-14750 https://www.oracle.com/security-alerts/alert-cve-2020-14750.html

Exploit PoC (वियतनामी में):

• https://testbnull.medium.com/weblogic-rce-by-only-one-get-request-cve-2020-14882-analysis-6e4b09981dbf
  Exploit PoC वीडियो:
• https://youtu.be/JFVDOIL0YtA

विक्रेता के विवरण जिनमें वास्तविक दुनिया में दोहन शामिल है:

• https://isc.sans.edu/forums/diary/PATCH+NOW+CVE202014882+Weblogic+Actively+Exploited+Against+Honeypots/26734/
• https://isc.sans.edu/forums/diary/Cryptojacking+Targeting+WebLogic+TCP7001/26768/
• https://blog.rapid7.com/2020/10/29/oracle-weblogic-unauthenticated-complete-takeover-cve-2020-14882-what-you-need-to-know/
• https://threatpost.com/oracle-update-weblogic-server-flaw/160889/

उठाई गई चेतावनियाँ:

पता लगाने का दायरा	चेतावनी संदेश	चेतावनी उप-क्षेत्र	अलर्ट की विश्वसनीयता
POST विधि सफल दोहन	POST विधि का उपयोग करके Oracle के WebLogic Server Remote Code Execution भेद्यता (CVE-2020-14882 और CVE-2020-14750) का संभावित सफल दोहन। https://www.oracle.com/security-alerts/cpuoct2020traditional.html और https://www.oracle.com/security-alerts/alert-cve-2020-14750.html देखें। कलाकृतियों के लिए उप-क्षेत्र देखें।	[स्रोत pcap की TLP के कारण संपादित]	उच्च
GET विधि सफल दोहन	GET विधि का उपयोग करके Oracle के WebLogic Server Remote Code Execution भेद्यता (CVE-2020-14882 और CVE-2020-14750) का संभावित सफल दोहन। https://www.oracle.com/security-alerts/cpuoct2020traditional.html और https://www.oracle.com/security-alerts/alert-cve-2020-14750.html देखें। कलाकृतियों के लिए उप-क्षेत्र देखें।	[स्रोत pcap की TLP के कारण संपादित]	उच्च
POST विधि असफल प्रयास	POST विधि का उपयोग करके Oracle के WebLogic Server Remote Code Execution भेद्यता (CVE-2020-14882 और CVE-2020-14750) का असफल दोहन प्रयास। https://www.oracle.com/security-alerts/cpuoct2020traditional.html और https://www.oracle.com/security-alerts/alert-cve-2020-14750.html देखें। कलाकृतियों के लिए उप-क्षेत्र देखें।	[स्रोत pcap की TLP के कारण संपादित]	उच्च
GET विधि असफल प्रयास	GET विधि का उपयोग करके Oracle के WebLogic Server Remote Code Execution भेद्यता (CVE-2020-14882 और CVE-2020-14750) का असफल दोहन प्रयास। https://www.oracle.com/security-alerts/cpuoct2020traditional.html और https://www.oracle.com/security-alerts/alert-cve-2020-14750.html देखें। कलाकृतियों के लिए उप-क्षेत्र देखें।	[स्रोत pcap की TLP के कारण संपादित]	उच्च

उपयोग, नोट्स और अनुशंसाएँ:

• यह पैकेज चेतावनी में सर्वर की प्रतिक्रिया का एक नमूना शामिल कर सकता है। यह घटना-प्रतिक्रियाकर्ताओं को पता लगाने की जाँच में सहायता करने के लिए है। यदि आप चाहते हैं कि सर्वर प्रतिक्रिया कलाकृतियाँ आपके notice.log में शामिल हों, तो scripts/main.zeek में इस विकल्प को डिफ़ॉल्ट F से बदलकर T करें:
  const include_exploited_server_response_in_notice: bool = T;

• डिफ़ॉल्ट रूप से यह पैकेज सभी TCP पोर्टों पर पता लगाता है, न कि केवल डिफ़ॉल्ट पोर्ट 7001/tcp पर। व्यवहार को केवल निर्दिष्ट पोर्ट पर पता लगाने के लिए बदलने हेतु scripts/main.zeek में इन विकल्पों का उपयोग करें:
  const detect_default_port_only: bool = T;
const default_port: port = 7001/tcp;

• डिफ़ॉल्ट रूप से यह पैकेज सभी दोहन प्रयासों का पता लगाता है - सफल और असफल दोनों। व्यवहार को केवल सफल दोहनों का पता लगाने के लिए बदलने हेतु scripts/main.zeek में इन विकल्पों का उपयोग करें:
  const detect_unsuccessful_attempts: bool = F;

• यदि आपके पास स्कैनर हैं जिन्हें आप पता लगाने से बाहर रखना चाहते हैं, तो उन्हें scripts/scanner_exclude_from_detection.zeek फ़ाइल में जोड़ें।

• पहले से मौजूद pcap के विरुद्ध चलाने के लिए zeek -Cr your.pcap scripts/__load__.zeek

• यह पैकेज क्लस्टर या गैर-क्लस्टर वातावरण में चलेगा।

प्रतिक्रिया

• जैसे-जैसे विवरण सामने आते हैं, हम समुदाय के लाभ के लिए इस पैकेज को बेहतर बनाने के इच्छुक हैं। कृपया किसी भी सुझाव और प्रतिक्रिया के लिए लेखक से संपर्क करने में संकोच न करें।