Oracleの「WebLogic Server」におけるRCEの検出 CVE-2020-14882 / CVE-2020-14750

概要:

CVE-2020-14882 および CVE-2020-14750 の悪用試行の検出 - OracleのWebLogic Serverにおける認証なしRCE。

参考情報:

Oracleのアドバイザリ:

• CVE-2020-14882 https://www.oracle.com/security-alerts/cpuoct2020traditional.html
• CVE-2020-14750 https://www.oracle.com/security-alerts/alert-cve-2020-14750.html

エクスプロイトのPoC（ベトナム語）:

• https://testbnull.medium.com/weblogic-rce-by-only-one-get-request-cve-2020-14882-analysis-6e4b09981dbf
  エクスプロイトPoC動画:
• https://youtu.be/JFVDOIL0YtA

実際の悪用を含むベンダーの記事:

• https://isc.sans.edu/forums/diary/PATCH+NOW+CVE202014882+Weblogic+Actively+Exploited+Against+Honeypots/26734/
• https://isc.sans.edu/forums/diary/Cryptojacking+Targeting+WebLogic+TCP7001/26768/
• https://blog.rapid7.com/2020/10/29/oracle-weblogic-unauthenticated-complete-takeover-cve-2020-14882-what-you-need-to-know/
• https://threatpost.com/oracle-update-weblogic-server-flaw/160889/

発行される通知:

使用方法、注意事項、推奨事項:

• このパッケージは、サーバーの応答のサンプルを通知に含めることができます。これはインシデント対応担当者が検出結果をトリアージする際の補助となります。 サーバーの応答成果物を notice.log に含めたい場合は、scripts/main.zeek のこのオプションをデフォルトの F から T に変更してください。例:
  const include_exploited_server_response_in_notice: bool = T;

• デフォルトでは、このパッケージはすべてのTCPポート (デフォルトの7001/tcpだけでなく) で検出します。指定したポートのみで検出するように動作を変更するには、scripts/main.zeek で以下のオプションを使用してください:
  const detect_default_port_only: bool = T;
const default_port: port = 7001/tcp;

• デフォルトでは、このパッケージはすべての悪用試行 (成功したものと失敗したものの両方) を検出します。成功した悪用のみを検出するように動作を変更するには、scripts/main.zeek で以下のオプションを使用してください:
  const detect_unsuccessful_attempts: bool = F;

• 検出から除外したいスキャナーがある場合は、scripts/scanner_exclude_from_detection.zeek ファイルに追加してください。

• 既存のpcapに対して実行するには zeek -Cr your.pcap scripts/__load__.zeek を使用します。

• このパッケージはクラスタ環境でも非クラスタ環境でも動作します。

フィードバック

• 詳細が明らかになるにつれて、このパッケージをコミュニティのために改善したいと考えています。提案やフィードバックがあれば、気兼ねなく作者にご連絡ください。