CVE-2020-14644
Oracle WebLogic Server Remote Code Execution Vulnerability
Beschreibung
CVE-2020-14644 ist eine kritische Schwachstelle im Oracle WebLogic Server, einem zentralen Bestandteil der Oracle Fusion Middleware (Komponente: Core). Die Schwachstelle erlaubt es einem nicht authentifizierten Angreifer mit Netzwerkzugriff ueber die Protokolle IIOP oder T3, den Server vollstaendig zu uebernehmen. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 93,64 % (99,8. Perzentil) gehoert diese Schwachstelle zu den am haeufigsten ausgenutzten Sicherheitsluecken. Die CISA hat CVE-2020-14644 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 09. Oktober 2024. Betroffen sind die WebLogic Server-Versionen 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | weblogic server | 12.2.1.3.0; 12.2.1.4.0; 14.1.1.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.oracle.com/security-alerts/cpujul2020.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-14644(US Government Resource)
Schwachstellentyp
Fuer CVE-2020-14644 wurde keine spezifische CWE-Klassifikation zugewiesen. Die Schwachstelle betrifft den Core-Bereich des Oracle WebLogic Servers und ermoeglicht Remote Code Execution (RCE) ueber die IIOP- und T3-Protokolle. Basierend auf dem Angriffsvektor und den betroffenen Protokollen handelt es sich wahrscheinlich um eine Deserialisierungs-Schwachstelle, die in WebLogic Server historisch haeufig auftreten. Angreifer koennen speziell praeparierte serialisierte Objekte ueber T3 oder IIOP senden, die bei der Deserialisierung auf dem Server beliebigen Code ausfuehren.
Auswirkungsanalyse
Vollstaendige Serveruebernahme: CVE-2020-14644 ermoeglicht die komplette Uebernahme des Oracle WebLogic Servers. Vertraulichkeit (C:H) bedeutet, dass ein Angreifer Zugriff auf alle auf dem Server gespeicherten Daten erhaelt, einschliesslich Datenbank-Credentials, Geschaeftslogik und vertraulicher Anwendungsdaten. Integritaet (I:H) erlaubt das Manipulieren von Anwendungsdaten, das Einschleusen von Backdoors und das Veraendern von Geschaeftsprozessen. Verfuegbarkeit (A:H) gibt dem Angreifer volle Kontrolle ueber den Serverbetrieb bis hin zur vollstaendigen Abschaltung.
Triviale Ausnutzbarkeit: Der CVSS-Vektor zeigt eine netzwerkbasierte Ausnutzung (AV:N) mit niedriger Komplexitaet (AC:L), ohne erforderliche Privilegien (PR:N) und ohne Benutzerinteraktion (UI:N). WebLogic Server werden haeufig direkt im Internet exponiert, was die Angriffsflaeche erheblich vergroessert.
EPSS und Ransomware-Risiko: Der EPSS-Score von 93,64 % (99,8. Perzentil) belegt eine extrem hohe Ausnutzungswahrscheinlichkeit in freier Wildbahn. Der Ransomware-Status ist als Unknown klassifiziert, jedoch sind WebLogic-Schwachstellen ein bekanntes Ziel fuer Crypto-Mining-Kampagnen und koennen als initialer Zugangsvektor fuer Ransomware-Angriffe missbraucht werden.
Exploit-Reifegrad
CVE-2020-14644 weist eine sehr hohe Exploit-Reife auf. WebLogic-Deserialisierungs-Schwachstellen gehoeren zu den am besten dokumentierten und am haeufigsten ausgenutzten Schwachstellenklassen. Oeffentliche Exploit-Frameworks wie Metasploit enthalten Module fuer aehnliche WebLogic-Schwachstellen, und die T3/IIOP-Angriffsvektoren sind in der Sicherheitsgemeinschaft gut bekannt.
KEV-Status: Die CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen, was bestaetigt, dass sie aktiv in freier Wildbahn ausgenutzt wird. Die Behebungsfrist wurde auf den 09. Oktober 2024 festgesetzt.
EPSS-Kontext: Mit einem EPSS-Score von 93,64 % (99,8. Perzentil) liegt CVE-2020-14644 im obersten Promille der am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Dies korreliert mit der langen Historie von WebLogic-Exploits und der weiten Verbreitung des Servers in Unternehmensumgebungen.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. WebLogic-Server sind jedoch ein bevorzugtes Ziel fuer Angreifer, da sie oft Zugang zu kritischen Unternehmensanwendungen und Datenbanken bieten.
Behebung
- Oracle Critical Patch Update einspielen: Installieren Sie umgehend den Critical Patch Update (CPU) vom Juli 2020, der unter dem Oracle Security Alert verfuegbar ist. Dieser Patch behebt CVE-2020-14644 fuer die betroffenen Versionen 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0.
- T3- und IIOP-Protokolle einschraenken: Falls der Patch nicht sofort eingespielt werden kann, beschraenken Sie den Zugriff auf die T3- und IIOP-Protokolle durch Netzwerk-Firewallregeln. Blockieren Sie eingehende T3- und IIOP-Verbindungen aus nicht vertrauenswuerdigen Netzwerken, insbesondere aus dem Internet.
- WebLogic-Netzwerksegmentierung pruefen: Stellen Sie sicher, dass WebLogic-Server nicht direkt aus dem Internet erreichbar sind. Verwenden Sie einen Reverse Proxy oder Load Balancer, der ausschliesslich HTTP/HTTPS weiterleitet und T3/IIOP-Verbindungen blockiert.
- Monitoring und Erkennung implementieren: Ueberwachen Sie T3- und IIOP-Verbindungen auf verdaechtige Aktivitaeten. Implementieren Sie IDS/IPS-Regeln, die bekannte WebLogic-Exploit-Muster erkennen. Pruefen Sie WebLogic-Logs auf Anzeichen einer Kompromittierung.
- Upgrade-Planung durchfuehren: Pruefen Sie die Migration auf die neueste WebLogic-Version mit allen aktuellen Sicherheitspatches. Oracle veroeffentlicht vierteljaehrlich Critical Patch Updates, die konsequent eingespielt werden sollten.
Technische Details
Die Schwachstelle befindet sich im Core-Bereich des Oracle WebLogic Servers und betrifft die Verarbeitung von eingehenden Daten ueber die Protokolle IIOP (Internet Inter-ORB Protocol) und T3 (WebLogic-proprietaeres Protokoll). Beide Protokolle werden fuer die Remote-Kommunikation zwischen WebLogic-Servern und Clients verwendet.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) ueber T3 oder IIOP mit niedriger Komplexitaet (AC:L). Es sind keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich. Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H), was einer vollstaendigen Serveruebernahme entspricht.
Angriffsmechanismus: WebLogic-Server akzeptieren auf Standard-Ports (typischerweise 7001) sowohl HTTP- als auch T3/IIOP-Verbindungen. Ein Angreifer sendet speziell praeparierte Anfragen ueber T3 oder IIOP, die vom Server unsicher verarbeitet werden. Die niedrige Angriffskomplexitaet und die fehlende Authentifizierungsanforderung machen den Angriff trivial automatisierbar. WebLogic-Server in den Versionen 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0 sind anfaellig und muessen durch den Oracle CPU vom Juli 2020 gepatcht werden.
Häufig gestellte Fragen
Ist mein WebLogic Server aus dem Internet erreichbar?
Viele WebLogic-Installationen sind ueber den Standard-Port 7001 direkt aus dem Internet erreichbar. Pruefen Sie mit einem Port-Scanner oder ueber Shodan/Censys, ob Ihre WebLogic-Server exponiert sind. T3- und IIOP-Protokolle sollten niemals aus nicht vertrauenswuerdigen Netzwerken erreichbar sein.
Reicht es aus, nur HTTP-Zugriff auf WebLogic zuzulassen?
Das Einschraenken auf HTTP/HTTPS-Zugriff ist eine wirksame Sofortmassnahme, da CVE-2020-14644 spezifisch die T3- und IIOP-Protokolle betrifft. Allerdings sollte der offizielle Oracle-Patch dennoch eingespielt werden, da weitere Schwachstellen auch den HTTP-Kanal betreffen koennten.
Wie erkenne ich, ob mein Server bereits kompromittiert wurde?
Pruefen Sie die WebLogic-Server-Logs auf ungewoehnliche T3/IIOP-Verbindungen, insbesondere von unbekannten IP-Adressen. Untersuchen Sie das System auf neue oder veraenderte Dateien, unbekannte Prozesse und verdaechtige Netzwerkverbindungen. WebLogic-Deserialisierungs-Angriffe hinterlassen oft Spuren in Form von neuen Web-Shells oder Crypto-Mining-Prozessen.
Gibt es einen Workaround, wenn ich den Patch nicht sofort einspielen kann?
Ja, als Sofortmassnahme koennen Sie T3- und IIOP-Verbindungen auf Firewall-Ebene blockieren oder den Zugriff auf vertrauenswuerdige IP-Adressen beschraenken. Zusaetzlich koennen Sie in der WebLogic-Konfiguration T3-Verbindungsfilter aktivieren. Diese Massnahmen sind jedoch nur temporaer - der Oracle-Patch muss zeitnah eingespielt werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.