CVE-2017-3506
Oracle WebLogic Server OS Command Injection Vulnerability
Beschreibung
CVE-2017-3506 ist eine OS-Command-Injection-Schwachstelle in der Web-Services-Komponente von Oracle WebLogic Server. Ein nicht authentifizierter Angreifer kann ueber das Netzwerk per HTTP auf den Server zugreifen und die Schwachstelle ausnutzen, um unbefugten Zugriff auf kritische Daten zu erlangen oder das System zu kompromittieren. Mit einem CVSS-Score von 7.4 (HIGH) und einem EPSS-Score von 94,39 % (100,0. Perzentil) gehoert diese Schwachstelle zu den am haeufigsten ausgenutzten Sicherheitsluecken ueberhaupt. Die CISA hat CVE-2017-3506 in den KEV-Katalog aufgenommen. Betroffen sind die WebLogic Server Versionen 10.3.6.0, 12.1.3.0, 12.2.1.0, 12.2.1.1 und 12.2.1.2.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | weblogic server | 10.3.6.0.0; 12.1.3.0.0; 12.2.1.0.0; 12.2.1.1.0; 12.2.1.2.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Referenzen
- http://www.oracle.com/technetwork/security-advisory/cpuapr2017-3236618.html(Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/97884(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038296(Broken Link, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-3506(US Government Resource)
Schwachstellentyp
Fuer CVE-2017-3506 ist kein spezifischer CWE-Typ im NVD eingetragen. Basierend auf der Schwachstellenbeschreibung und dem bekannten Angriffsvektor handelt es sich um eine XML-basierte Command-Injection-Schwachstelle ueber die Web-Services-Schnittstelle.
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
CWE-78 (OS Command Injection) beschreibt eine Schwachstellenklasse, bei der eine Anwendung vom Benutzer kontrollierte Eingaben in Betriebssystembefehle einfuegt, ohne diese ausreichend zu validieren oder zu bereinigen. Im Fall von CVE-2017-3506 ermoeglicht eine unzureichende Validierung von XML-Eingaben in der Web-Services-Komponente des Oracle WebLogic Servers die Ausfuehrung beliebiger Betriebssystembefehle. Mehr erfahren
Auswirkungsanalyse
Kritische Datenexfiltration und Systemkompromittierung: Der CVSS-Vektor zeigt hohe Auswirkungen auf Vertraulichkeit (C:H) und Integritaet (I:H). Ein Angreifer kann vertrauliche Geschaeftsdaten, Datenbankinhalte und Konfigurationsdateien des WebLogic Servers auslesen. Die hohe Integritaetsauswirkung bedeutet, dass Anwendungen und Daten auf dem Server manipuliert werden koennen, einschliesslich des Einschleusens von Web-Shells oder Backdoors.
Schwierige, aber unauthentifizierte Ausnutzung: Die Komplexitaet der Ausnutzung ist als hoch (AC:H) eingestuft, was bedeutet, dass bestimmte Bedingungen erfuellt sein muessen. Dennoch erfordert der Angriff keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N), was die Schwachstelle aus der Ferne ausnutzbar macht.
EPSS und Ransomware: Der EPSS-Score von 94,39 % (100,0. Perzentil) ist aussergewoehnlich hoch und zeigt, dass diese Schwachstelle zu den am aktivsten ausgenutzten Sicherheitsluecken weltweit gehoert. Der Ransomware-Status ist als Unknown klassifiziert. Oracle WebLogic Server ist jedoch ein bekanntes Ziel fuer Kryptomining- und Ransomware-Kampagnen, was die Dringlichkeit des Patchings unterstreicht.
Exploit-Reifegrad
CVE-2017-3506 weist eine sehr hohe Exploit-Reife auf. Als eine der aeltesten Schwachstellen im KEV-Katalog (seit 2017) hat sie jahrelange aktive Ausnutzung erfahren. Oracle hat den Critical Patch Update vom April 2017 veroeffentlicht, der diese Schwachstelle adressiert.
EPSS-Kontext: Mit einem EPSS-Score von 94,39 % (100,0. Perzentil) gehoert CVE-2017-3506 zum obersten Segment der am wahrscheinlichsten ausgenutzten Schwachstellen. Dies reflektiert die weitverbreitete Verfuegbarkeit von Exploit-Tools und die anhaltende Relevanz der Schwachstelle.
Oeffentliche Exploits und Angriffskampagnen: Die Schwachstelle ist seit Jahren in oeffentlichen Exploit-Frameworks verfuegbar. Zahlreiche APT-Gruppen und Cyberkriminelle nutzen WebLogic-Schwachstellen als bevorzugten Einstiegspunkt fuer Netzwerkeinbrueche. Die Schwachstelle ist Teil einer Serie von WebLogic-Deserialisierungs- und Command-Injection-Schwachstellen, die zusammen eines der am haeufigsten angegriffenen Ziele darstellen.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown, jedoch sind Oracle WebLogic Server ein bekanntes Ziel fuer Ransomware-Kampagnen, insbesondere in Kombination mit anderen WebLogic-Schwachstellen wie CVE-2019-2725 und CVE-2020-14882.
Behebung
- Oracle Critical Patch Update einspielen: Installieren Sie den Critical Patch Update vom April 2017 oder einen neueren CPU. Oracle veroeffentlicht vierteljaehrlich Sicherheitsupdates, die kumulative Fixes enthalten. Stellen Sie sicher, dass Ihr WebLogic Server auf dem aktuellsten Patch-Stand ist.
- WebLogic Server auf aktuelle Version aktualisieren: Migrieren Sie von den betroffenen Versionen (10.3.6.0, 12.1.3.0, 12.2.1.x) auf eine aktuelle, unterstuetzte WebLogic Server Version. Aeltere Versionen wie 10.3.6.0 haben das End-of-Life erreicht und erhalten keine Sicherheitsupdates mehr.
- Web-Services-Zugriff einschraenken: Beschraenken Sie den Zugriff auf die WLS-WSAT (Web Services Atomic Transactions) und WLS-Security Endpunkte ueber Firewall-Regeln oder den WebLogic Server Security-Realm. Deaktivieren Sie nicht benoetigte Web-Services-Endpunkte vollstaendig.
- Web Application Firewall (WAF) einsetzen: Konfigurieren Sie eine WAF mit Regeln zur Erkennung und Blockierung von XML-basierten Injection-Angriffen auf WebLogic-Endpunkte. Viele WAF-Anbieter bieten spezifische Regeln fuer bekannte WebLogic-Schwachstellen an.
- Intrusion Detection und Monitoring implementieren: Ueberwachen Sie WebLogic Server Logs auf verdaechtige Zugriffe auf Web-Services-Endpunkte, insbesondere auf ungewoehnliche XML-Payloads und POST-Anfragen an /wls-wsat/ Pfade.
Technische Details
Die Schwachstelle liegt in der Web-Services-Komponente (Subkomponente: Web Services) des Oracle WebLogic Servers innerhalb der Oracle Fusion Middleware. Die unzureichende Validierung von XML-Eingaben in den WLS-WSAT- und WLS-Security-Endpunkten ermoeglicht einem Angreifer das Einschleusen boeswilliger Befehle.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N) mit hoher Komplexitaet (AC:H), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U), die Auswirkungen auf Vertraulichkeit (C:H) und Integritaet (I:H) sind hoch, waehrend die Verfuegbarkeit (A:N) nicht betroffen ist.
Angriffsmechanismus: Ein Angreifer sendet eine speziell praeparierte HTTP-POST-Anfrage mit einem manipulierten XML-SOAP-Body an die Web-Services-Endpunkte des WebLogic Servers (typischerweise /wls-wsat/CoordinatorPortType). Die XML-Payload enthaelt eingebettete Betriebssystembefehle, die durch die unzureichende Eingabevalidierung des XML-Parsers ausgefuehrt werden. Der Angriff nutzt die XMLDecoder-Klasse aus, die XML-Daten in Java-Objekte deserialisiert und dabei beliebige Methodenaufrufe ermoeglicht.
Betroffene Versionen: Oracle WebLogic Server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.0.0, 12.2.1.1.0 und 12.2.1.2.0. Diese Versionen sind Bestandteil der Oracle Fusion Middleware und werden haeufig in Unternehmensumgebungen fuer Java-EE-Anwendungen eingesetzt.
Häufig gestellte Fragen
Warum ist CVE-2017-3506 trotz ihres Alters noch im KEV-Katalog?
Oracle WebLogic Server wird in zahlreichen Unternehmensumgebungen eingesetzt, und viele Installationen werden nicht regelmaessig aktualisiert. Die Schwachstelle wird seit 2017 kontinuierlich aktiv ausgenutzt, was durch den extrem hohen EPSS-Score von 94,39 % belegt wird. Ungepatchte WebLogic-Server bleiben ein bevorzugtes Ziel fuer Angreifer.
Ist mein WebLogic Server verwundbar, wenn er hinter einer Firewall steht?
Eine Firewall reduziert das Risiko, eliminiert es aber nicht vollstaendig. Wenn der WebLogic Server ueber das Netzwerk erreichbar ist (auch intern), kann die Schwachstelle von einem Angreifer ausgenutzt werden, der bereits im internen Netzwerk Fuss gefasst hat. Eine Defense-in-Depth-Strategie mit Patching, Netzwerksegmentierung und WAF ist empfohlen.
Gibt es einen Zusammenhang mit anderen WebLogic-Schwachstellen?
Ja, CVE-2017-3506 ist Teil einer Serie von Schwachstellen in der XML-Deserialisierung des WebLogic Servers. Verwandte Schwachstellen sind CVE-2017-10271, CVE-2019-2725 und CVE-2020-14882. Oracle hat den XMLDecoder-Ansatz in neueren Versionen grundlegend ueberarbeitet. Es wird dringend empfohlen, alle diese Schwachstellen gleichzeitig zu patchen.
Welche Alternativen gibt es, wenn ein sofortiges Patching nicht moeglich ist?
Als temporaere Massnahme koennen Sie den Zugriff auf die /wls-wsat/ und /wls-security/ URL-Pfade des WebLogic Servers blockieren. Dies kann ueber eine vorgelagerte WAF oder Reverse-Proxy-Konfiguration erfolgen. Beachten Sie jedoch, dass dies nur eine temporaere Loesung ist und das Einspielen des Patches die einzige vollstaendige Behebung darstellt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.