CVE-2017-10271
Oracle Corporation WebLogic Server Remote Code Execution Vulnerability
Beschreibung
CVE-2017-10271 ist eine schwerwiegende Schwachstelle in Oracle WebLogic Server, die nicht authentifizierten Angreifern die Ausführung von Code ermöglicht. Mit einem CVSS-3.1-Score von 7.5 (HIGH) und der Klassifizierung unter CWE-306 (Missing Authentication for Critical Function) liegt die Schwachstelle in der WLS-Security-Komponente und ist über das T3-Protokoll ausnutzbar. Betroffen sind Oracle WebLogic Server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0 und 12.2.1.2.0. Besonders bemerkenswert ist der bestätigte Ransomware-Bezug und die massive Ausnutzung für Kryptomining-Kampagnen. Die CVE wurde am 10. Februar 2022 in den CISA-KEV-Katalog aufgenommen. Der EPSS-Score von 94,42 % (99,98. Perzentile) gehört zu den höchsten überhaupt beobachteten.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | weblogic server | 10.3.6.0.0; 12.1.3.0.0; 12.2.1.1.0; 12.2.1.2.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Referenzen
- http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html(Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/101304(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1039608(Broken Link, Third Party Advisory, VDB Entry)
- https://github.com/c0mmand3rOpSec/CVE-2017-10271(Exploit)
- https://www.exploit-db.com/exploits/43458/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/43924/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-10271(US Government Resource)
Schwachstellentyp
CWE-306: Missing Authentication for Critical Function
CVE-2017-10271 wird unter CWE-306 — Fehlende Authentifizierung für kritische Funktionen — klassifiziert. Diese Schwäche tritt auf, wenn eine Softwarekomponente kritische Aktionen ausführt, ohne eine Authentifizierung zu verlangen.
Im Kontext von Oracle WebLogic Server stellt die WLS-Security-Komponente einen XML-Deserialisierungs-Endpunkt bereit, der eingehende Anfragen ohne ordnungsgemäße Authentifizierung verarbeitet. Angreifer können speziell gestaltete XML-Payloads an den Server senden, die deserialisiert und ausgeführt werden, ohne die Identität des Anfragenden zu überprüfen. Diese fehlende Authentifizierungsprüfung verwandelt eine eigentlich eingeschränkte Verwaltungsfunktion in eine für jeden erreichbare Angriffsfläche.
Auswirkungsanalyse
CVE-2017-10271 erreicht einen CVSS-3.1-Score von 7.5 (HIGH) mit einem Schwerpunkt auf Verfügbarkeitsauswirkungen.
Vertraulichkeit (None): Der CVSS-Vektor weist keine direkte Vertraulichkeitsauswirkung aus. In der Praxis führen Ausnutzungsketten jedoch häufig zu weitreichendem Datenzugriff, da die Codeausführung auf dem WebLogic-Server einen Ausgangspunkt für weitere Angriffe bietet.
Integrität (None): Die formale CVSS-Bewertung weist keine Integritätsauswirkung zu. In der Realität modifizieren Angreifer regelmäßig Systemdateien, installieren Backdoors und deployen Kryptominer oder andere Malware.
Verfügbarkeit (High): Die primäre bewertete Auswirkung betrifft die Verfügbarkeit. Die Ausnutzung wird massiv für den Einsatz von Kryptomining-Software genutzt, die Serverressourcen verbraucht und erhebliche Leistungseinbußen sowie potenzielle Dienstausfälle verursacht.
Ransomware-Bezug: Der CISA-KEV-Katalog bestätigt einen bekannten Ransomware-Bezug für CVE-2017-10271. Dies erhöht die reale Auswirkung erheblich über die formale CVSS-Bewertung hinaus.
Mit einem EPSS-Score von 94,42 % (99,98. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten überhaupt.
Exploit-Reifegrad
Exploit-Status: CVE-2017-10271 weist eine extrem hohe Exploit-Reife mit weit verbreiteter automatisierter Ausnutzung und bestätigtem Ransomware-Einsatz auf.
Öffentliche Exploits: Mehrere Exploit-Module sind auf Exploit-DB (IDs 43458 und 43924) sowie auf GitHub (c0mmand3rOpSec/CVE-2017-10271) verfügbar.
Ransomware-Bezug: Der CISA-KEV-Katalog bestätigt ausdrücklich den Ransomware-Bezug. Die Schwachstelle wird von Ransomware-Betreibern für den initialen Zugang zu Unternehmensservern eingesetzt.
Kryptomining-Kampagnen: CVE-2017-10271 wurde 2017-2018 zu einer der am meisten ausgenutzten Schwachstellen für Kryptomining-Kampagnen weltweit.
KEV-Frist: Aufnahme in den KEV-Katalog am 10. Februar 2022, Behebungsfrist bis 10. August 2022.
Automatisierung: Die Einfachheit der Ausnutzung — ein einziger HTTP-Request mit XML-Payload genügt — hat zur Entwicklung vollautomatisierter Exploit-Tools geführt.
EPSS-Kontext: Der EPSS-Score von 94,42 % (99,98. Perzentile) bestätigt nahezu universelle Ausnutzungsaktivität.
Behebung
-
Oracle Critical Patch Update installieren. Wenden Sie umgehend die Patches aus dem Oracle October 2017 Critical Patch Update für WebLogic Server an.
-
WebLogic Server aktualisieren. Planen Sie bei Versionen 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0 oder 12.2.1.2.0 ein Upgrade auf eine aktuelle, vollständig gepatchte Version.
-
Netzwerkzugriff auf WebLogic-Ports einschränken. Limitieren Sie den Zugriff auf das T3-Protokoll und die WebLogic-Administrationskonsole per Firewall-Regeln auf vertrauenswürdige Verwaltungsnetzwerke. Blockieren Sie den öffentlichen Internetzugang zu Ports 7001 und 7002.
-
Unnötige Protokolle deaktivieren. Deaktivieren Sie das T3-Protokoll, falls es nicht benötigt wird. Konfigurieren Sie WebLogic-Verbindungsfilter zur Beschränkung des T3-Zugriffs auf bestimmte IP-Bereiche.
-
Auf Kompromittierungsindikatoren prüfen. Suchen Sie nach unauthorisierten Kryptomining-Prozessen, unerwarteten Netzwerkverbindungen zu Mining-Pools, neuen Benutzerkonten, Webshells oder modifizierten Systemdateien.
-
WAF-Regeln implementieren. Setzen Sie Web-Application-Firewall-Regeln ein, um XML-Deserialisierungs-Angriffspayloads gegen WebLogic-Endpunkte zu erkennen und zu blockieren.
Technische Details
CVE-2017-10271 ist eine Remote-Code-Execution-Schwachstelle in der WLS-Security-Komponente von Oracle WebLogic Server durch unsichere XML-Deserialisierung.
Angriffsvektor: Netzwerk (AV:N), niedrige Komplexität (AC:L), keine Authentifizierung (PR:N), keine Benutzerinteraktion (UI:N). Ein Angreifer benötigt lediglich Netzwerkzugriff auf den WebLogic-Server, typischerweise Port 7001.
Technischer Ablauf: Die Schwachstelle nutzt unsichere Deserialisierung von XMLDecoder-verarbeiteten Eingaben in der WLS-Security-Komponente. Ein Angreifer sendet einen manipulierten HTTP-POST-Request mit bösartigem XML-Payload. Der Server deserialisiert dieses XML ohne Authentifizierung oder Eingabevalidierung, wodurch beliebige Java-Objekte instanziiert und Systembefehle ausgeführt werden können.
Typische Exploit-Payloads: Angriffe nutzen häufig Java ProcessBuilder oder Runtime.exec()-Methoden innerhalb der XML-Struktur zur Ausführung von Betriebssystembefehlen — zum Download von Kryptominern, Reverse Shells oder Ransomware-Payloads.
Betroffene Versionen: Oracle WebLogic Server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0 und 12.2.1.2.0.
CVSS-Vektor: AV:N/AC:L/PR:N/UI:N/S:U — obwohl der formale Vektor nur die Verfügbarkeit als High bewertet, erreicht die reale Ausnutzung regelmäßig vollständige Systemkompromittierung.
Häufig gestellte Fragen
Was ist CVE-2017-10271?
CVE-2017-10271 ist eine schwerwiegende Schwachstelle in Oracle WebLogic Server, die nicht authentifizierte Remote Code Execution durch unsichere XML-Deserialisierung in der WLS-Security-Komponente ermöglicht. Angreifer können speziell gestaltete HTTP-Anfragen senden, um beliebige Befehle auszuführen. Der CVSS-Score beträgt 7.5, und es besteht ein bestätigter Ransomware-Bezug.
Welche WebLogic-Server-Versionen sind betroffen?
Betroffen sind Oracle WebLogic Server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0 und 12.2.1.2.0. Jede Bereitstellung, die den WebLogic-HTTP- oder T3-Listener ohne das Oktober-2017-Critical-Patch-Update für nicht vertrauenswürdige Netzwerke freigibt, ist anfällig.
Wie behebe ich CVE-2017-10271?
Wenden Sie das Oracle October 2017 Critical Patch Update für WebLogic Server an. Beschränken Sie den Netzwerkzugriff auf WebLogic-Verwaltungsports, insbesondere das T3-Protokoll auf Port 7001. Deaktivieren Sie T3, falls nicht benötigt. Prüfen Sie bestehende Server vor dem Patchen auf Kryptomining-Software.
Wie schwerwiegend ist CVE-2017-10271?
CVE-2017-10271 ist mit einem CVSS-Score von 7.5 als HIGH eingestuft, aber die reale Auswirkung ist durch bestätigten Ransomware-Bezug und massive Kryptomining-Kampagnen deutlich höher. Der EPSS-Score von 94,42 % (99,98. Perzentile) bestätigt sie als eine der am aktivsten ausgenutzten Schwachstellen. Automatisierte Tools suchen kontinuierlich nach exponierten WebLogic-Instanzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.