CVE-2022-21445-for-12.2.1.3.0-Weblogic

Oracle WebLogic ADF Faces के लिए प्री-ऑथेंटिकेशन रिमोट कोड एक्ज़ीक्यूशन एक्सप्लॉइट (CVE-2022-21445, CVSS 9.8)। इसमें पेनिट्रेशन टेस्टिंग के लिए विस्तृत पर्यावरण सेटअप, पेलोड जनरेशन और रिमोट डीबगिंग निर्देश शामिल हैं।

डेटाबेस स्थापित करने के लिए एक फ़ोल्डर तैयार करें, नीचे दिए गए पथ जैसा पथ बनाएं और डाउनलोड किए गए डेटाबेस ज़िप फ़ाइल को यहाँ अनज़िप करें C:\app\oracle\product\19c\db_home1

चरण 9/17 पर, अक्षर सेट को यूनिकोड (AL32UTF8) चुनें

5. स्थापना पूर्ण होने के बाद, विंडोज की सेवाओं (Services) में ध्यानपूर्वक जाँच करें कि नीचे दिए गए चित्र के अनुसार मुख्य 4 सेवाओं की स्थिति RUNNING है।

6. निम्नलिखित चरणों के अनुसार एक नया Oracle डेटाबेस खाता बनाएं:

• टर्मिनल प्रशासक -> sqlplus / as sysdba
• सिस्टम उपयोगकर्ता बनाएं: alter user system identified by system_password account unlock;
• सिस्टम उपयोगकर्ता की उपस्थिति जांचें: select username from dba_users;
• वातावरण सेट करें: alter session set “_oracle_script”=true;
• सामान्य उपयोगकर्ता hr बनाएं: create user hr identified by user_password;
• अनुमतियाँ प्रदान करें: grant all privileges to hr;
• खाता अनलॉक करें – पासवर्ड बदलें: alter user hr identified by hr_pass account unlock;
• नया सिस्टम खाता बनाएं: alter user sys identified by sys_pass account unlock;

चरण 3: SQL Developer स्थापित करें, no-jre संस्करण, डाउनलोड लिंक: SQLDev-NoJRE

• व्यवस्थापक अधिकारों के साथ sqldeveloper.application फ़ाइल चलाएं

• नीचे दिए गए चित्र के अनुसार एक नए कनेक्शन के लिए पैरामीटर सेट करें, उपयोगकर्ता नाम और पासवर्ड बदलना सुनिश्चित करें (जैसा कि ऊपर दिए गए उदाहरण में hr है), होस्टनाम (डिफ़ॉल्ट localhost), पोर्ट (डिफ़ॉल्ट 1521), SID (चरण 2 में स्थापित वैश्विक डेटाबेस नाम)

• यदि Test चुनने पर Success संदेश दिखाई देता है, तो कनेक्शन सफल है, Connect चुनें।

चरण 4: Fusion Middleware Infrastructure (FMW) संस्करण 12.2.1.3.0 स्थापित करें, डाउनलोड लिंक FMW_ver_12.2.1.3.0

• FMW स्थापना निर्देशिका के लिए C:\Oracle\Middleware\Oracle_Home प्रारूप में पथ बनाएं
• निर्देशों के अनुसार क्रमिक रूप से चरणों का पालन करें: FMW स्थापना मार्गदर्शिका

चरण 5: Oracle Business Intelligence (OBIEE) संस्करण 12.2.1.4.0 स्थापित करें, डाउनलोड लिंक: OBIEE_ver_12.2.1.4.0

• व्यवस्थापक अधिकारों के साथ setup_bi_platform-12.2.1.4.0_win64.exe फ़ाइल चलाएं

• OBIEE स्थापना मार्गदर्शिका के अनुसार चरण दर चरण स्थापित करें।

• ध्यान दें: BI का पथ FWM स्थापना पथ के समान होना चाहिए, जैसे कि यहाँ Oracle/Middleware/Oracle_Home है

चरण 6: Repository Creation Utility (RCU) का उपयोग करके BI स्कीमा सेट करें।

• पथ C:\Oracle\Middleware\Oracle_Home\oracle_common\bin पर, व्यवस्थापक अधिकारों के साथ rcu.bat फ़ाइल चलाएं

• निम्नलिखित चरणों का पालन करें:

• अंत में, Create दबाएं ताकि सिस्टम BI स्कीमा बना सके।

चरण 7: OBIEE के लिए वातावरण चर सेट करें।

• कंट्रोल पैनल > सिस्टम > उन्नत सिस्टम सेटिंग्स > उन्नत > वातावरण चर > नया सिस्टम चर पर जाएं

चरण 8: BI डोमेन बनाएं।

1. पथ C:\Oracle\Middleware\Oracle_Home\bi\bin पर, व्यवस्थापक अधिकारों के साथ config.cmd फ़ाइल चलाएं।

2. चरण 1: सभी 3 घटकों का चयन करें, जिसमें Essbase OLAP सर्वर है, Business Intelligence Enterprise Edition BI Analytics है और Business Intelligence Publisher BI Publisher है।

3. चरण 3: नीचे दिए गए चित्र के अनुसार नया डोमेन सेट करें। !! डोमेन का पासवर्ड याद रखें क्योंकि इसे पुनर्प्राप्त करना बहुत कठिन होगा। और डोमेन को bi रखें क्योंकि यह डिफ़ॉल्ट है।

4. चरण 4: डेटाबेस के लिए डोमेन जानकारी अपडेट करें।

5. चरण 8: यदि प्रक्रिया सफल होती है, तो नीचे दिए गए चित्र के अनुसार परिणाम होगा।

6. यदि सब कुछ Done हो जाता है, तो OBIEE की जानकारी फ़ाइल को अगले चरण के लिए सहेजें, निम्नलिखित URL में लॉगिन करें:

• http://localhost:9500/console*
• http://localhost:9500/em*
• http://localhost:9502/xmlpserver*
• http://localhost:9502/analytics*

7. कुछ संभावित त्रुटियाँ

• चरण 4 में, यदि सिस्टम fail to logon दिखाता है, तो डोमेन पासवर्ड की जाँच करें कि क्या यह सही है।

• चरण 8 में, यदि सिस्टम नीचे दिए गए चित्र के अनुसार त्रुटि दिखाता है, तो जाँच करें कि क्या आपने विंडोज लाइसेंस सक्रिय किया है और क्या आपका विंडोज शर्तों में वर्णित है।

• BI_HOME_PRODUCT नहीं जोड़ा गया, चरण 7 पुनः देखें।
• त्रुटि अपडेट करें ...

चरण 9: सेटअप पूरा करने के बाद, अभी बनाए गए bi डोमेन पर पथ $Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\adf.oracle.domain.webapp\i83uao पर जाएं।

• यहाँ से सभी jar फ़ाइलों को एक अलग फ़ोल्डर में कॉपी करें, और इसे हमलावर मशीन (लैब वातावरण में ऐसा करें, वास्तविक हमले के दौरान हमलावर मशीन पर भी लक्ष्य मशीन की तरह ही स्थापित करना होगा ताकि स्रोत कोड प्राप्त किया जा सके) पर साझा करें।

• पथ $Oracle_Home\coherence\lib से coherence.jar लाइब्रेरी को भी इस फ़ोल्डर में जोड़ें।

• यह एक महत्वपूर्ण फ़ोल्डर है जो पेलोड की सफलता निर्धारित करता है क्योंकि FMW या BI के प्रत्येक संस्करण या प्रत्येक मशीन का वातावरण अलग-अलग होता है, इसलिए पेलोड संचरण के दौरान जोखिम या अपवादों को कम करने के लिए सटीक संस्करण की आवश्यकता होती है।

चरण 10 (केवल यदि रिमोट डीबगिंग आवश्यक हो तो करें; यदि वास्तविक वातावरण में परीक्षण कर रहे हैं, तो पीड़ित मशीन को स्वतंत्र रूप से सेट नहीं किया जा सकता, इसलिए हमलावर को अपनी मशीन पर लक्ष्य मशीन सेटअप भी करना होगा ताकि रिमोट डीबगिंग करके त्रुटियों की जांच की जा सके)।

• मोज़िला स्थापित करें, पोर्ट 8181 के साथ बर्प प्रॉक्सी जोड़ें।

• BI सर्वर पर रिमोट डीबग चालू करें।

  localhost:9500/console पर जाएं।

  डोमेन संरचना -> bi चुनें -> वातावरण -> सर्वर

दो सर्वर दिखाई देंगे: weblogic का AdminServer और BI का bi_server1।

चित्र 10.2: सर्वर सूची दिखाई देती है

बाएँ कोने में Lock & Edit चुनें, कॉन्फ़िगरेशन संपादित करने के लिए bi_server1 चुनें। यहाँ, कॉन्फ़िगरेशन -> सर्वर प्रारंभ -> अंत तक स्क्रॉल करें, एडवांस्ड चुनें (यदि उपलब्ध हो) -> आर्गुमेंट्स में जोड़ने के लिए चुनें -> डीबग पैरामीटर दर्ज करें:

-Xdebug -Xnoagent – Xrunjdwp:transport=dt_socket,address=5005,server=y,suspend=n

(यदि बाद में bi_server1 को पुनरारंभ करने में त्रुटि होती है, तो 0.0.0.0:5005 के साथ प्रयास करें)

weblogic पासवर्ड दर्ज करें (जो पहले कॉन्फ़िग BI डोमेन में सेट किया गया था) -> Apply change & Restart

टर्मिनल प्रशासक प्रारंभ करें -> पथ $Oracle_Home\user_projects\domains\bi\bitools\bin पर नेविगेट करें और ./stop.cmd और ./start.cmd चलाएं ताकि bi_server1 पुनरारंभ हो, पुनरारंभ प्रक्रिया के दौरान यदि कोई त्रुटि नहीं होती है, तो डीबग खुल गया है और उपरोक्त पोर्ट 5005 पर सुन रहा है। यदि त्रुटि होती है, तो ऊपर दिए गए डीबग पैरामीटर की जाँच करें कि कहीं अनावश्यक स्थान या पते में कोई त्रुटि तो नहीं है।

हमलावर मशीन पक्ष

चरण 1: IntelliJ IDEA Ultimate डाउनलोड करें, github पर कोड खोजकर सक्रिय करें।

चरण 2 (यह चरण केवल तब करें यदि हमले की प्रक्रिया में 500 सर्वर त्रुटि, ... जैसी त्रुटि आती है, तो यह पेलोड में अपवाद के कारण होता है)

1. प्रोजेक्ट के jdk – sdk संस्करण को लक्ष्य मशीन के समान संस्करण में बदलें (स्थापना विधि लक्ष्य मशीन - चरण 1 के अनुसार)।

2. स्रोत कोड का विश्लेषण करने और रिमोट डीबगिंग के लिए एक खाली प्रोजेक्ट बनाएं।

3. लक्ष्य मशीन से प्राप्त फ़ोल्डर की सभी jar फ़ाइलों को इस प्रोजेक्ट में जोड़ें।

   प्रोजेक्ट संरचना -> मॉड्यूल -> + चुनें -> 1 JARS या निर्देशिकाएँ -> पूरी jar निर्देशिका जोड़ें।

4. रिमोट डीबग सेट करें।

   रन -> संपादन कॉन्फ़िगरेशन -> + -> रिमोट JVM डीबग

चरण 3:

• इस रिपॉजिटरी से कोड को मशीन पर क्लोन करें, lib फ़ोल्डर से पुरानी coherence.jar फ़ाइल हटाएं और इसे पिछले चरण में लक्ष्य मशीन से प्राप्त फ़ाइल से बदलें।

• इसके बाद, इसे IntelliJ का उपयोग करके चलाने वाले प्रोजेक्ट में जोड़ें, lib में सभी jar फ़ाइलों को लाइब्रेरी के रूप में जोड़ें विकल्प के साथ जोड़ें।

• LambdaIdentity$.... का वर्ग नाम Weblogic संस्करण के अनुसार सही है या नहीं जाँचें, यदि कोई परिवर्तन है तो फ़ाइल को रीफैक्टर करें और उस फ़ाइल का नाम बदलें।

  Weblogic 12.2.1.3: LambdaIdentity$E12ECA49F06D0401A9D406B2DCC7463A

  Weblogic 12.2.1.4: LambdaIdentity$423B02C050017B24DB10DFF759AA56BF

• Main.java फ़ाइल में LambdaIdentity$....class फ़ाइल के पथ को संपादित करें। सटीक पथ प्राप्त करने के दो तरीके हैं: javac jar फ़ाइल चलाकर .class फ़ाइल उत्पन्न करें; दूसरा तरीका main फ़ंक्शन के कोड को कमेंट करें, फिर इस प्रोजेक्ट को सामान्य रूप से चलाएं, वर्ग फ़ाइल का पथ target फ़ोल्डर में पाया जा सकता है।

• प्रोजेक्ट का jdk और sdk लक्ष्य मशीन के समान है या नहीं जाँचें।

BI कोड और पेलोड उत्पन्न करने वाले कोड का विश्लेषण

BI कोड का विश्लेषण

1. पथ $Oracle\Middleware\Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\em\fw8wi5\war\WEB-INF पर

हम web.xml फ़ाइल देखते हैं, यह फ़ाइल servlet-mapping से संबंधित मैपिंग संबंधों का वर्णन करती है। "resources" एक servlet है जो सिस्टम संसाधनों से संबंधित है, इसमें महत्वपूर्ण डेटा और जानकारी होती है, इसलिए यह वह स्थान है जहाँ हमलावर अक्सर निशाना लगाते हैं।

2. ResourceServlet वर्ग में गहराई से जाएं, विशेष रूप से org.apache.myfaces.trinidad.webapp.ResourceServlet में हम doGet फ़ंक्शन देखेंगे जो सर्वर पर भेजे गए get अनुरोध को संसाधित करता है।

• यहाँ, _getResourceLoader() विधि के माध्यम से, इनपुट अनुरोध से एक नया लोडर बनाया जाता है। साथ ही, एक resourcePath भी प्रारंभ किया जाता है और getResourcePath विधि के माध्यम से servletPath और servletInfo प्राप्त करता है, जिसमें पैरामीटर request होता है। वह लोडर getResource(resourcePath) फ़ंक्शन को कॉल करता है, इनपुट अनुरोध से संसाधन को लोड करने का प्रयास करता है और org.apache.myfaces.trinidad.resource.ResourceLoader.getResource.findResource() फ़ंक्शन के माध्यम से इसे ढूंढता है, अंत में पाया गया मान URL.class वर्ग के एक url इंस्टेंस को दिया जाता है।

• _getResourceLoader एक ConcurrentMap बनाए रखता है जो servletPath और लोडर्स के बीच मैपिंग संबंध संग्रहीत करता है। यह संबंध oracle.adfinternal.view.resource.rich.RenderKitResourceLoader में स्पष्ट रूप से परिभाषित है।

• RenderKitResourceLoader() फ़ंक्शन में _register विधि को कॉल किया जाता है और संबंधित regex + लोडर पारित किए जाते हैं, फिर super.register लौटाया जाता है, जो इसका मूल फ़ंक्शन है। यह फ़ंक्शन concurrentmap_loaders में पैटर्न और संबंधित लोडर मान जोड़ता है। इसलिए, जब doGet() फ़ंक्शन पर लोडर प्रारंभ किया जाता है और इनपुट अनुरोध का पैरामीटर प्राप्त करता है, तो भेजे गए URL अनुरोध से servletPath मान लिया जाता है ताकि _loader.get() में पास किया जा सके और संबंधित सर्वलेट प्राप्त किया जा सके।

• कमजोरी के लेखक का मानना है कि उन वर्गों में जिनमें findResource() को ओवरराइड करने वाली विधि है, oracle.adfinternal.view.resource.rich.RemoteApplicationResourceLoader वह वर्ग है जिसमें डीसीरियलाइज़ेशन का जोखिम है। आइए इसका विश्लेषण करें ताकि कारण का पता लगाया जा सके।

RemoteApplicationResourceLoader.class में findResource() फ़ंक्शन का विश्लेषण

यह फ़ंक्शन एक विधि लौटाता है जिसमें कस्टम प्रोटोकॉल RAStreamHandler() शामिल है। RAStreamHandler() new RAURLConnection मान के साथ एक URLConnection ऑब्जेक्ट बनाएगा।

RAURLConnection फ़ंक्शन _getPathBean को कॉल करता है।

_getPathBean फ़ंक्शन में एक बीन ऑब्जेक्ट होता है जो getInstanceFromString() फ़ंक्शन को कॉल करके बनाया जाता है, जो इनपुट स्ट्रिंग को संसाधित करके संबंधित कुंजियाँ (फ़िल्टर) प्राप्त करता है।

इनपुट बीन स्ट्रिंग को SerializationUtils वर्ग के माध्यम से URL एन्कोडेड रूप से एक URLEncoderPathBean ऑब्जेक्ट में बदल दिया जाएगा। यदि सब कुछ ठीक रहता है, तो आगे का इनपुट fromURLEncodeString() फ़ंक्शन में पारित किया जाएगा।

यदि इनपुट स्ट्रिंग में त्रुटि होती है, तो एक अपवाद उत्पन्न होगा। अपवाद मुख्य रूप से पेलोड में उपयोग की जाने वाली लाइब्रेरी के कारण होता है, संस्करण बेमेल या Lambda फ़ाइल के पथ में त्रुटि के कारण।

fromURLEncodedString() फ़ंक्शन में, एक fromString फ़ंक्शन url पैरामीटर के साथ लौटाया जाता है, और इसका कोड इस प्रकार है:

fromString फ़ंक्शन में, डेटा readObject() द्वारा पढ़ा जाता है और वापस किया जाता है। यह देखा जा सकता है कि इनपुट किसी भी फ़िल्टरिंग के बिना है। यह कई फ़ंक्शनों से होकर बहता है और अंततः fromString() में डीसीरियलाइज़ होता है। यह शोषण के लिए सिंक है। सिंक मिल गया है, अब स्रोत खोजना बाकी है।

3. स्रोत खोजें: जैसा कि ऊपर विश्लेषण किया गया है, स्रोत खोजने के लिए प्रारंभिक URL अनुरोध को निर्धारित करना आवश्यक है। हम देखते हैं कि findResource() फ़ंक्शन को कॉल करने के लिए, हमें RemoteApplicationResourceLoader वर्ग तक पहुँचने का अधिकार होना चाहिए। RenderKitResourceLoader वर्ग में इसे बहुत स्पष्ट रूप से परिभाषित किया गया है।```bash this._register("/./remote/(.)", new RemoteApplicationResourceLoader());