CVE-2018-2628
Oracle WebLogic Server Unspecified Vulnerability
Beschreibung
CVE-2018-2628 ist eine Deserialisierungs-Schwachstelle in Oracle WebLogic Server, die es einem nicht authentifizierten Angreifer mit T3-Protokoll-Netzwerkzugriff ermöglicht, den Server vollständig zu kompromittieren. Der Fehler existiert im T3-Protokoll-Handler, der nicht vertrauenswürdige Daten von Remote-Verbindungen deserialisiert und dadurch Remote-Code-Ausführung ermöglicht. Oracle WebLogic Server ist ein weit verbreiteter Java-EE-Anwendungsserver in Unternehmensumgebungen für geschäftskritische Anwendungen. Die CISA hat CVE-2018-2628 in ihren KEV-Katalog aufgenommen, und mit einem EPSS-Score von 94,4 % (99. Perzentil) ist die Ausnutzung bei exponierten Instanzen nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | weblogic server | 10.3.6.0.0; 12.1.3.0.0; 12.2.1.2.0; 12.2.1.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.oracle.com/technetwork/security-advisory/cpuapr2018-3678067.html(Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/103776(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1040696(Broken Link, Third Party Advisory, VDB Entry)
- https://github.com/brianwrf/CVE-2018-2628(Broken Link)
- https://www.exploit-db.com/exploits/44553/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/45193/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/46513/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-2628(US Government Resource)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
CVE-2018-2628 nutzt eine Schwäche bei der Deserialisierung nicht vertrauenswürdiger Daten in der T3-Protokollimplementierung von Oracle WebLogic Server aus. Der Server deserialisiert Java-Objekte, die über T3-Netzwerkverbindungen empfangen werden, ohne ausreichende Überprüfung, wodurch ein Angreifer speziell präparierte serialisierte Objekte senden kann, die bei der Deserialisierung beliebigen Code auf dem Server ausführen.
Mehr erfahren: CWE-502 — Deserialisierung nicht vertrauenswürdiger Daten
Auswirkungsanalyse
CVE-2018-2628 stellt ein kritisches Risiko für die Unternehmensinfrastruktur dar. Die Schwachstelle ist über das Netzwerk via T3-Protokoll ohne jegliche Authentifizierung aus der Ferne ausnutzbar, und es ist keine Benutzerinteraktion erforderlich. Die Angriffskomplexität ist gering, da zuverlässige Ausnutzungstechniken gut dokumentiert und weit verfügbar sind. Eine erfolgreiche Ausnutzung führt zur vollständigen Kompromittierung des Oracle WebLogic Servers und gewährt dem Angreifer die volle Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des Anwendungsservers sowie aller gehosteten Anwendungen. Dies kann zur Exfiltration sensibler Geschäftsdaten, Manipulation von Anwendungslogik, Installation von Web-Shells oder Hintertüren und zur lateralen Bewegung im Unternehmensnetzwerk führen. Mit einem EPSS-Score von 94,4 % (99. Perzentil) gehört diese Schwachstelle zu den am aktivsten ausgenutzten der gesamten CVE-Datenbank.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2018-2628 bestätigt, indem sie die Schwachstelle mit einer Behebungsfrist bis zum 29. September 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 94,4 % (99. Perzentil) spiegelt nahezu sichere Ausnutzungsaktivität wider, und es stehen mehrere öffentliche Exploit-Tools und Proof-of-Concept-Skripte zur Verfügung. Der WebLogic-T3-Deserialisierungs-Angriffsvektor wurde umfassend erforscht und weaponisiert, wobei Exploit-Frameworks wie ysoserial einsatzfertige Payloads bereitstellen. Es sind keine spezifischen Ransomware-Kampagnen mit dieser CVE assoziiert, jedoch werden WebLogic-Deserialisierungsschwachstellen häufig für Cryptomining, Web-Shell-Deployment und Datendiebstahl ausgenutzt.
Behebung
- Oracle Critical Patch Update (CPU) vom April 2018 anwenden: Gemäß der CISA-KEV-Vorgabe die im Oracle CPU April 2018 bereitgestellten Patches installieren, die CVE-2018-2628 in WebLogic Server beheben.
- T3-Protokollzugriff einschränken: WebLogic-Server-Verbindungsfilter konfigurieren, um T3-Protokollzugriff von nicht vertrauenswürdigen Netzwerken zu blockieren. T3-Verbindungen nur von vertrauenswürdigen internen Anwendungsservern zulassen.
- T3-Protokoll auf internetfähigen Schnittstellen deaktivieren: Falls das T3-Protokoll auf externen Netzwerkschnittstellen nicht benötigt wird, vollständig deaktivieren. Für notwendige interne Kommunikation T3S (T3 über TLS) verwenden.
- Netzwerkebene-Kontrollen implementieren: Firewall-Regeln einrichten, um den Zugriff auf WebLogic-Server-Ports (typischerweise 7001/7002) von nicht vertrauenswürdigen Quellen einzuschränken, und eine Web Application Firewall (WAF) zur Inspektion des T3-Verkehrs einsetzen.
- Java-Deserialisierungsfilterung implementieren: WebLogics Deserialisierungs-Blacklist (weblogic.security.net.ConnectionFilterImpl) konfigurieren, um bekannte gefährliche Java-Klassen zu blockieren, und Serverprotokolle auf Deserialisierungsfehler überwachen.
Technische Details
CVE-2018-2628 ist eine Java-Deserialisierungsschwachstelle im T3-Protokoll-Handler von Oracle WebLogic Server. Das T3-Protokoll ist WebLogics proprietäres Protokoll für die Kommunikation zwischen WebLogic-Server-Instanzen und Java-Clients und unterstützt nativ die Java-Objektserialisierung für Remote-Methodenaufrufe. Die Schwachstelle besteht, weil der T3-Protokoll-Listener eingehende Java-Objekte deserialisiert, ohne die deserialisierten Klassen ausreichend zu filtern oder zu validieren. Ein Angreifer kann eine T3-Verbindung zum WebLogic Server herstellen und ein speziell präpariertes serialisiertes Java-Objekt senden, das Gadget-Chains nutzt — Sequenzen vorhandener Java-Klassen mit ausnutzbarem Deserialisierungsverhalten — um beliebige Codeausführung zu erreichen. Da das T3-Protokoll vor jeder Authentifizierung auf Anwendungsebene operiert, ist der Angriff vollständig unauthentifiziert.
Häufig gestellte Fragen
Wird CVE-2018-2628 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2018-2628 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Der EPSS-Score von 94,4 % (99. Perzentil) deutet auf nahezu sichere Ausnutzungswahrscheinlichkeit hin. Öffentliche Exploit-Tools und PoC-Code sind weit verfügbar. Es sind keine spezifischen Ransomware-Kampagnen mit dieser CVE verknüpft.
Welche Produkte sind von CVE-2018-2628 betroffen?
CVE-2018-2628 betrifft Oracle WebLogic Server. Die Schwachstelle ist in Versionen vor dem Critical Patch Update vom April 2018 vorhanden. Alle WebLogic-Server-Instanzen mit zugänglichem T3-Protokoll von nicht vertrauenswürdigen Netzwerken sind gefährdet.
Wie behebe ich CVE-2018-2628?
Wenden Sie das Oracle Critical Patch Update vom April 2018 an, das die Deserialisierungsschwachstelle behebt. Schränken Sie zusätzlich den T3-Protokollzugriff mittels WebLogic-Verbindungsfiltern und Netzwerk-Firewalls ein, und erlauben Sie T3-Verbindungen nur von vertrauenswürdigen internen Quellen.
Wie schwerwiegend ist CVE-2018-2628?
CVE-2018-2628 ist eine kritische Deserialisierungsschwachstelle, die nicht authentifizierte Remote-Code-Ausführung auf Oracle WebLogic Server ermöglicht. Mit einem EPSS-Score von 94,4 % (99. Perzentil) gehört sie zu den am aktivsten ausgenutzten Schwachstellen. Eine erfolgreiche Ausnutzung gewährt die vollständige Kontrolle über den Anwendungsserver und alle gehosteten Anwendungen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.