CVE-2015-4852
Oracle WebLogic Server Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2015-4852 ist eine kritische Deserialisierungsschwachstelle in Oracle WebLogic Server. Die WLS-Security-Komponente ermöglicht es entfernten Angreifern, beliebige Befehle auszuführen, indem sie ein speziell präpariertes serialisiertes Java-Objekt über das T3-Protokoll an TCP-Port 7001 senden und dabei die mit WebLogic gebündelte Apache Commons Collections-Bibliothek ausnutzen. Betroffene Versionen umfassen Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0 und 12.2.1.0. CISA hat CVE-2015-4852 in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen und bestätigt damit die aktive Ausnutzung. Mit einem EPSS-Score von 92,72 % (99,8. Perzentil) hat diese Deserialisierungsschwachstelle eine nahezu sichere Wahrscheinlichkeit der Ausnutzung und bleibt eine der am häufigsten angegriffenen WebLogic-Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | virtual desktop infrastructure | <= 3.5.2 |
| oracle | storagetek tape analytics sw tool | 2.3 |
| oracle | weblogic server | 10.3.6.0.0; 12.1.2.0.0; 12.1.3.0.0; 12.2.1.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://foxglovesecurity.com/2015/11/06/what-do-weblogic-websphere-jboss-jenkins-opennms-and-your-application-have-in-common-this-vulnerability/(Exploit)
- http://packetstormsecurity.com/files/152268/Oracle-Weblogic-Server-Deserialization-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2015/11/17/19(Mailing List, Third Party Advisory)
- http://www.oracle.com/technetwork/security-advisory/cpuapr2017-3236618.html(Patch)
- http://www.oracle.com/technetwork/security-advisory/cpujan2018-3236628.html(Patch, Vendor Advisory)
- http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html(Patch, Vendor Advisory)
- http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html(Patch, Vendor Advisory)
- http://www.oracle.com/technetwork/topics/security/alert-cve-2015-4852-2763333.html(Vendor Advisory)
- http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html(Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/77539(Broken Link)
- http://www.securitytracker.com/id/1038292(Broken Link)
- https://blogs.oracle.com/security/entry/security_alert_cve_2015_4852(Broken Link)
- https://github.com/foxglovesec/JavaUnserializeExploits/blob/master/weblogic.py(Product)
- https://www.exploit-db.com/exploits/42806/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/46628/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-4852(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Deserialisierung nicht vertrauenswürdiger Daten tritt auf, wenn eine Anwendung Daten aus einer nicht vertrauenswürdigen Quelle ohne ordnungsgemäße Validierung deserialisiert, wodurch Angreifer serialisierte Objekte manipulieren können, um beliebigen Code auszuführen. Bei CVE-2015-4852 deserialisiert Oracle WebLogic Server Java-Objekte, die über das T3-Protokoll empfangen werden, ohne deren Inhalt zu überprüfen, was die Ausnutzung über bösartige Apache Commons Collections Gadget-Chains ermöglicht.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2015-4852 hat einen CVSS 3.1-Score von 9,8 (KRITISCH), der maximale Ausnutzbarkeit und schwerwiegende Auswirkungen widerspiegelt. Die Schwachstelle ist über das Netzwerk ohne physischen Zugang ausnutzbar, erfordert geringe Angriffskomplexität ohne spezielle Bedingungen und benötigt weder Authentifizierung noch Benutzerinteraktion. Vertraulichkeit (Hoch): Ein Angreifer kann alle Daten lesen, auf die der WebLogic-Server-Prozess Zugriff hat, einschließlich Anwendungsdaten, in JNDI gespeicherter Datenbank-Zugangsdaten und Konfigurationsdateien. Integrität (Hoch): Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebiger Befehle auf dem Server, wodurch Angreifer Daten ändern, bösartige Webanwendungen bereitstellen oder Serverkonfigurationen manipulieren können. Verfügbarkeit (Hoch): Angreifer können WebLogic-Server-Instanzen herunterfahren, Systemressourcen verbrauchen oder bereitgestellte Anwendungen unverfügbar machen. Der EPSS-Score von 92,72 % platziert diese Schwachstelle im 99,8. Perzentil.
Exploit-Reifegrad
CVE-2015-4852 wird durch die Aufnahme in den CISA-Katalog der Known Exploited Vulnerabilities als aktiv ausgenutzt bestätigt. Öffentlicher Exploit-Code ist verfügbar aus mehreren Quellen, darunter die ursprüngliche Forschungsarbeit von FoxGlove Security sowie Exploit-Code auf Packet Storm Security, Exploit-DB #42806 und Exploit-DB #46628. Der EPSS-Score von 92,72 % deutet auf nahezu sichere Ausnutzungsaktivität hin, und diese Schwachstelle ist zu einer grundlegenden Referenz für Java-Deserialisierungsangriffe auf mehrere Enterprise-Plattformen geworden. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 03.05.2022 gemäß der CISA-Richtlinie zu beheben.
Behebung
- Patches des Herstellers sofort anwenden gemäß CISA-KEV-Vorgabe: Updates nach Herstelleranweisungen durchführen. Oracle hat mehrere Patches bereitgestellt, darunter über die Critical Patch Updates vom Januar 2016, Oktober 2016, April 2017, Oktober 2017 und Januar 2018.
- Überprüfen Sie, dass alle Instanzen von Oracle WebLogic Server (Versionen 10.3.6.0.0, 12.1.2.0.0, 12.1.3.0.0, 12.2.1.0.0), Oracle Virtual Desktop Infrastructure (bis 3.5.2) und Oracle StorageTek Tape Analytics SW Tool (2.3) auf gepatchte Versionen aktualisiert wurden.
- Beschränken Sie den Zugriff auf das T3-Protokoll auf TCP-Port 7001 mittels Firewall-Regeln und Netzwerksegmentierung. Konfigurieren Sie WebLogic Server so, dass Verbindungsfilter T3-Verbindungen aus nicht vertrauenswürdigen Netzwerken blockieren, während HTTP/HTTPS-Verkehr zugelassen wird.
- Überwachen Sie den T3-Protokollverkehr auf anomale serialisierte Java-Objekte, insbesondere solche mit Apache Commons Collections Gadget-Chain-Signaturen. Prüfen Sie WebLogic-Server-Logs auf unerwartete Prozessausführungen oder Klassenladeaktivitäten.
- Ersetzen Sie die verwundbare Apache Commons Collections-Bibliothek (com.bea.core.apache.commons.collections.jar) durch eine gepatchte Version mit Deserialisierungsschutz. Implementieren Sie JEP-290-Deserialisierungsfilterung auf JVM-Ebene, um einzuschränken, welche Klassen deserialisiert werden können.
Technische Details
CVE-2015-4852 befindet sich in der WLS-Security-Komponente von Oracle WebLogic Server und nutzt unsichere Java-Deserialisierung über das T3-Protokoll auf TCP-Port 7001 aus. Die Grundursache ist die Einbindung der Apache Commons Collections-Bibliothek (oracle_common/modules/com.bea.core.apache.commons.collections.jar), die sogenannte Gadget-Klassen enthält, die während der Deserialisierung zu einer Kette kombiniert werden können, um beliebigen Code auszuführen. Wenn ein serialisiertes Java-Objekt mit einer bösartigen InvokerTransformer-Kette über T3 gesendet wird, deserialisiert WebLogic es ohne Validierung, löst die Gadget-Chain aus und führt beliebige Betriebssystembefehle im Kontext des WebLogic-Server-Prozesses aus. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt die triviale Ausnutzung von jeder Netzwerkposition ohne Anmeldeinformationen, was zur vollständigen Serverkompromittierung führt.
Häufig gestellte Fragen
Wird CVE-2015-4852 aktiv ausgenutzt?
Ja. CVE-2015-4852 ist im CISA-Katalog der Known Exploited Vulnerabilities gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 92,72 % (99,8. Perzentil) platziert sie unter den am aktivsten angegriffenen Vulnerabilities. Derzeit sind keine Ransomware-Kampagnen spezifisch mit dieser Schwachstelle assoziiert.
Welche Produkte sind betroffen?
CVE-2015-4852 betrifft Oracle WebLogic Server in den Versionen 10.3.6.0.0, 12.1.2.0.0, 12.1.3.0.0 und 12.2.1.0.0. Zusätzlich betroffen sind Oracle Virtual Desktop Infrastructure (bis Version 3.5.2) und Oracle StorageTek Tape Analytics SW Tool (Version 2.3).
Wie behebe ich CVE-2015-4852?
Wenden Sie sofort das Oracle Critical Patch Update an, speziell das Januar-2016-CPU oder neuer. Aktualisieren Sie alle WebLogic-Server-Instanzen auf gepatchte Versionen. Falls sofortiges Patchen nicht möglich ist, beschränken Sie den T3-Protokollzugriff auf Port 7001 auf vertrauenswürdige Netzwerke und implementieren Sie Deserialisierungsfilterung.
Wie schwerwiegend ist CVE-2015-4852?
CVE-2015-4852 hat einen CVSS 3.1-Score von 9,8 (KRITISCH), die nahezu maximale Schweregradbewertung. Dies war eine bahnbrechende Schwachstelle, die das systemische Risiko von Java-Deserialisierung über Enterprise-Plattformen hinweg aufzeigte. Mit einem EPSS-Score im 99,8. Perzentil und mehreren öffentlich verfügbaren Exploits ist eine sofortige Behebung unerlässlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.