CVE-2026-21962-Oracle-HTTP-Server-WebLogic-Proxy-Plug-in-Critical-

Oracle Fusion Middleware Oracle HTTP Server / WebLogic Server Proxy Plug-in에는 쉽게 악용 가능하고, 인증이 필요 없으며, 네트워크를 통해 접근 가능한 취약점이 있어 HTTP를 통한 침해가 가능합니다. 영향을 받는 지원 버전은 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0입니다.

CVSS 10.0 (Oracle/NVD 기준)이며 HTTP를 통해 원격으로 접근 가능합니다.

check.py는 노출 확인 및 배너/버전 힌트 확인 용도로만 사용됩니다. 먼저 requirements.txt를 실행한 후 check.py를 실행하세요.

테스트 및 연구 목적으로 exploit.py도 포함했습니다. 이는 다음을 위한 것입니다:

1. 공격 로직을 분석용으로 시뮬레이션합니다.
2. 환경에서 침해 지표(IOC) 또는 잘못된 구성을 안전하게 탐지합니다.
3. 방어 센서 테스트(WAF, IDS, 사용자 정의 탐지)를 위한 현실적인 페이로드를 생성합니다.
4. 정확한 요청 구조에 대해 교육합니다.

exploit.py의 출력 예시:

[공격자 관점] - 이론적 킬 체인

1. 정찰(RECON): 노출된 Oracle HTTP Server(포트 80/443)를 발견합니다.
2. 핑거프린팅(FINGERPRINT): check.py 또는 유사한 도구를 사용하여 AFFECTED_TRAINS의 버전을 확인합니다.
3. 프로빙(PROBE): 모호한 경로 요청을 보내 ProxyServlet을 찾습니다.
4. 익스플로잇 제작(EXPLOIT CRAFTING): ;Base64 페이로드가 포함된 악성 wl-proxy-client-ip 헤더를 주입합니다.
5. 요청 전달(REQUEST FORWARDING): 취약한 플러그인이 헤더를 부적절하게 검증/파싱합니다.
6. 접근(ACCESS): 백엔드 WebLogic 서버의 데이터와 기능에 대한 무단 접근 권한을 획득합니다.
7. 측면 이동 및 지속(PIVOT & PERSIST): Fusion Middleware 환경 내에서 측면 이동합니다.

[방어자 관점] - 즉시 조치 (패치 외)[citation:6][citation:8] *** 패치는 필수입니다. ORACLE 2026년 1월 CPU를 적용하세요[citation:10]. ***

의사코드 - 개념적 공격자 로직