CVE-2019-2725
Oracle WebLogic Server, Injection
Beschreibung
CVE-2019-2725 ist eine kritische Deserialisierungs- bzw. Injection-Schwachstelle im Oracle WebLogic Server, einer Komponente von Oracle Fusion Middleware. Die Schwachstelle befindet sich in der Subkomponente Web Services und ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, den Oracle WebLogic Server vollständig zu kompromittieren. Betroffen sind die Versionen 10.3.6.0.0 und 12.1.3.0.0 des WebLogic Servers. CISA hat CVE-2019-2725 in den Known Exploited Vulnerabilities-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Besonders besorgniserregend ist, dass diese Schwachstelle nachweislich für Ransomware-Angriffe verwendet wird. Mit einem EPSS-Score von 94,47 % (100. Perzentile) ist die Wahrscheinlichkeit einer aktiven Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | agile plm | 9.3.3; 9.3.4; 9.3.5 |
| oracle | communications converged application server | 5.1; 7.0; 7.1 |
| oracle | peoplesoft enterprise peopletools | 8.56; 8.57; 8.58 |
| oracle | storagetek tape analytics sw tool | 2.3 |
| oracle | tape library acsls | 8.5 |
| oracle | tape virtual storage manager gui | 6.2 |
| oracle | vm virtualbox | < 5.2.36; >= 6.0.0, < 6.0.16; >= 6.1.0, < 6.1.2; 5.2.36 |
| oracle | weblogic server | 10.3.6.0.0; 12.1.3.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Referenzen
- http://packetstormsecurity.com/files/152756/Oracle-Weblogic-Server-Deserialization-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2725-5466295.html(Patch, Vendor Advisory)
- http://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html(Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/108074(Broken Link)
- https://support.f5.com/csp/article/K90059138(Third Party Advisory)
- https://www.exploit-db.com/exploits/46780/(Exploit, Third Party Advisory, VDB Entry)
- https://www.oracle.com/security-alerts/alert-cve-2019-2725.html#AppendixFMW(Patch, Vendor Advisory)
- https://www.oracle.com/security-alerts/cpujan2020.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-2725(US Government Resource)
Schwachstellentyp
CWE-74: Injection
Die Injection-Schwachstelle im Oracle WebLogic Server entsteht durch eine fehlerhafte Verarbeitung von Benutzereingaben in der Web Services-Subkomponente. Speziell handelt es sich um eine Deserialisierungsschwachstelle, bei der manipulierte XML-Daten an den Server gesendet werden können, die bei der Verarbeitung zu einer Remote Code Execution führen. Ein nicht authentifizierter Angreifer kann dies ausnutzen, um beliebigen Code auf dem Zielsystem auszuführen.
Weitere Informationen: CWE-74 — Injection
Auswirkungsanalyse
CVE-2019-2725 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) und stellt eine der schwerwiegendsten Bedrohungen für Oracle WebLogic Server-Installationen dar. Die Schwachstelle ist über das Netzwerk ausnutzbar, erfordert keine Authentifizierung, keine Benutzerinteraktion und weist eine geringe Angriffskomplexität auf — ein Angreifer kann sie somit trivial und ohne besondere Voraussetzungen aus der Ferne ausnutzen. Vertraulichkeit (Hoch): Sensible Geschäftsdaten und Konfigurationsinformationen auf dem WebLogic Server können vollständig offengelegt werden. Integrität (Hoch): Angreifer können Daten manipulieren, Anwendungen modifizieren und Backdoors installieren. Verfügbarkeit (Hoch): Der betroffene Server kann vollständig lahmgelegt oder für Ransomware-Angriffe missbraucht werden. Die bekannte Verwendung bei Ransomware-Angriffen erhöht die Dringlichkeit der Behebung erheblich.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2019-2725 über Exploit-DB sowie Packet Storm Security. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt, und die Schwachstelle wird nachweislich für Ransomware-Angriffe eingesetzt. Der EPSS-Score von 94,47 % (100. Perzentile) deutet auf nahezu sichere Ausnutzungsaktivität hin und macht CVE-2019-2725 zu einer der am häufigsten ausgenutzten Schwachstellen weltweit. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-07-10 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie umgehend die von Oracle bereitgestellten Sicherheitspatches für den WebLogic Server.
- Aktualisieren Sie Oracle WebLogic Server 10.3.6.0.0 und 12.1.3.0.0 auf die neueste gepatchte Version. Beachten Sie die Oracle Security Alert Advisory und die Critical Patch Updates (CPU) von Juli 2019 und Januar 2020, die Fixes für diese Schwachstelle enthalten.
- Falls ein sofortiges Patchen nicht möglich ist, deaktivieren oder beschränken Sie den Zugriff auf die betroffenen Web Services-Endpunkte. Implementieren Sie Web Application Firewall (WAF)-Regeln, die verdächtige Deserialisierungs-Payloads blockieren, und beschränken Sie den Netzwerkzugriff auf Port 7001/7002 mittels Firewall-Regeln auf vertrauenswürdige IP-Adressen.
- Überwachen Sie WebLogic-Server-Logs auf verdächtige Anfragen an Web Services-Endpunkte, insbesondere ungewöhnliche POST-Anfragen mit XML-Payloads. Suchen Sie nach Kompromittierungsindikatoren, einschließlich unerwarteter Prozesse, Netzwerkverbindungen oder Dateisystemänderungen.
- Implementieren Sie langfristig eine Netzwerksegmentierung, um WebLogic-Server in geschützten Netzwerksegmenten zu isolieren. Aktivieren Sie Java-Deserialisierungsfilter und prüfen Sie alle weiteren Oracle-Produkte (Agile PLM, PeopleSoft, Communications Converged Application Server) auf erforderliche Updates.
Technische Details
CVE-2019-2725 ist eine Deserialisierungsschwachstelle in der Web Services-Subkomponente des Oracle WebLogic Servers. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, speziell gestaltete HTTP-Anfragen mit manipulierten serialisierten Java-Objekten an den WebLogic Server zu senden, die bei der Verarbeitung zu Remote Code Execution führen. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt die maximale Ausnutzbarkeit: Netzwerkbasierter Angriff, geringe Komplexität, keine Privilegien und keine Benutzerinteraktion erforderlich. Neben dem WebLogic Server selbst sind weitere Oracle-Produkte betroffen, darunter Agile PLM (9.3.3-9.3.5), Communications Converged Application Server (5.1, 7.0, 7.1), PeopleSoft Enterprise PeopleTools (8.56-8.58), StorageTek Tape Analytics SW Tool (2.3) und VM VirtualBox (verschiedene Versionen bis 6.1.2).
Häufig gestellte Fragen
Wird CVE-2019-2725 aktiv ausgenutzt?
Ja. CVE-2019-2725 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Die Schwachstelle wird nachweislich für Ransomware-Angriffe verwendet. Der EPSS-Score von 94,47 % (100. Perzentile) zeigt eine nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2019-2725 betroffen?
CVE-2019-2725 betrifft primär Oracle WebLogic Server in den Versionen 10.3.6.0.0 und 12.1.3.0.0. Darüber hinaus sind weitere Oracle-Produkte betroffen: Agile PLM (9.3.3, 9.3.4, 9.3.5), Communications Converged Application Server (5.1, 7.0, 7.1), PeopleSoft Enterprise PeopleTools (8.56, 8.57, 8.58), StorageTek Tape Analytics SW Tool (2.3), Tape Library ACSLS (8.5), Tape Virtual Storage Manager GUI (6.2) und VM VirtualBox (Versionen vor 5.2.36 und 6.0.16 sowie 6.1.2).
Wie behebe ich CVE-2019-2725?
Installieren Sie umgehend die von Oracle bereitgestellten Sicherheitspatches gemäß dem Oracle Security Alert Advisory und den Critical Patch Updates. Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den Netzwerkzugriff auf die betroffenen Web Services-Endpunkte und implementieren Sie WAF-Regeln zur Blockierung verdächtiger Deserialisierungs-Payloads.
Wie schwerwiegend ist CVE-2019-2725?
CVE-2019-2725 hat einen CVSS 3.1-Score von 9.8 (CRITICAL), was die maximale Schweregradklasse darstellt. Die Schwachstelle erfordert keine Authentifizierung und ist trivial ausnutzbar. Der EPSS-Score von 94,47 % in der 100. Perzentile sowie die bekannte Verwendung bei Ransomware-Angriffen unterstreichen die extreme Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.