CVE-2020-14750
Oracle WebLogic Server Remote Code Execution Vulnerability
Beschreibung
CVE-2020-14750 ist eine kritische Remote-Code-Execution-Schwachstelle in Oracle WebLogic Server, einer Komponente von Oracle Fusion Middleware. Diese Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugang über HTTP, den betroffenen WebLogic Server vollständig zu übernehmen. Die Schwachstelle steht in Zusammenhang mit CVE-2020-14882, die dieselbe WebLogic-Console-Komponente betrifft, und stellt eine Authentifizierungsumgehung dar, die für eine vollständige Systemkompromittierung verkettet werden kann. Betroffene Versionen umfassen Oracle WebLogic Server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0. CISA hat die aktive Ausnutzung über den KEV-Katalog bestätigt, und mit einem EPSS-Score von 94,44 % (99,99. Perzentil) hat CVE-2020-14750 eine der höchsten Ausnutzungswahrscheinlichkeiten aller erfassten Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | weblogic server | 10.3.6.0.0; 12.1.3.0.0; 12.2.1.3.0; 12.2.1.4.0; 14.1.1.0.0 |
Referenzen
- http://packetstormsecurity.com/files/160143/Oracle-WebLogic-Server-Administration-Console-Handle-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- https://www.oracle.com/security-alerts/alert-cve-2020-14750.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-14750(US Government Resource)
Schwachstellentyp
NVD-CWE-noinfo: Unzureichende Informationen
Der spezifische Schwachstellentyp für CVE-2020-14750 wurde von NVD nicht formal klassifiziert. Die Schwachstelle beinhaltet jedoch eine Authentifizierungsumgehung in der Oracle WebLogic Server Console-Komponente, die es nicht authentifizierten entfernten Angreifern ermöglicht, über speziell präparierte HTTP-Anfragen auf administrative Funktionen zuzugreifen. Diese Schwachstelle steht in engem Zusammenhang mit CVE-2020-14882 und stellt eine Umgehung des Patches dieser Schwachstelle dar.
Mehr erfahren: NVD CWE-Klassifikation
Auswirkungsanalyse
CVE-2020-14750 hat einen CVSS 3.1-Score von 9,8 (KRITISCH), der maximale Ausnutzbarkeit und schwerwiegendes Auswirkungspotenzial widerspiegelt. Die Schwachstelle ist über das Netzwerk via HTTP ohne physischen Zugang ausnutzbar, erfordert geringe Angriffskomplexität ohne spezielle Bedingungen und benötigt weder Authentifizierung noch Benutzerinteraktion. Vertraulichkeit (Hoch): Ein Angreifer erhält vollständigen Lesezugriff auf alle vom WebLogic Server verwalteten Daten, einschließlich bereitgestellter Anwendungen, Datenbankverbindungspools und in JNDI gespeicherter Zugangsdaten. Integrität (Hoch): Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes, wodurch Angreifer bösartige Anwendungen bereitstellen, Serverkonfigurationen ändern oder persistenten Zugang einrichten können. Verfügbarkeit (Hoch): Vollständige Kontrolle über die Serververfügbarkeit, was Denial-of-Service oder die Störung aller bereitgestellten Enterprise-Anwendungen ermöglicht. Der EPSS-Score von 94,44 % platziert diese Schwachstelle im 99,99. Perzentil, was darauf hinweist, dass sie zu den am aktivsten ausgenutzten Schwachstellen weltweit gehört.
Exploit-Reifegrad
CVE-2020-14750 wird durch die Aufnahme in den CISA-Katalog der Known Exploited Vulnerabilities als aktiv ausgenutzt bestätigt. Der EPSS-Score von 94,44 % (99,99. Perzentil) platziert sie unter den am aktivsten ausgenutzten Schwachstellen überhaupt. Ein verwandter Exploit, der die WebLogic Server Administration Console betrifft, ist über Packet Storm Security verfügbar. Diese Schwachstelle steht in engem Zusammenhang mit CVE-2020-14882, und in Kombination ermöglichen die beiden CVEs eine vollständige nicht authentifizierte Remote-Code-Execution-Kette gegen die WebLogic Console. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 03.05.2022 gemäß der CISA-Richtlinie zu beheben.
Behebung
- Patches des Herstellers sofort anwenden gemäß CISA-KEV-Vorgabe: Updates nach Herstelleranweisungen durchführen. Oracle hat ein außerplanmäßiges Sicherheits-Alert speziell für diese Schwachstelle veröffentlicht.
- Überprüfen Sie, dass alle Instanzen von Oracle WebLogic Server (Versionen 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0) auf gepatchte Versionen aktualisiert wurden. Stellen Sie auch sicher, dass der verwandte CVE-2020-14882-Patch angewendet wurde, da beide Schwachstellen die Console-Komponente betreffen.
- Beschränken Sie den Netzwerkzugriff auf die WebLogic Server Administration Console (typischerweise auf Port 7001). Die Console sollte niemals dem Internet ausgesetzt sein. Verwenden Sie Firewall-Regeln und Netzwerksegmentierung, um den Console-Zugriff auf vertrauenswürdige administrative Netzwerke zu beschränken.
- Überwachen Sie WebLogic-Server-Zugriffsprotokolle auf verdächtige HTTP-Anfragen an den Console-Endpunkt, insbesondere solche mit URL-Encoding, doppeltem Encoding oder Path-Traversal-Techniken zur Umgehung der Authentifizierung. Prüfen Sie die Systemintegrität auf unautorisiert bereitgestellte Anwendungen oder Konfigurationsänderungen.
- Implementieren Sie einen Reverse Proxy oder eine Web Application Firewall (WAF) vor dem WebLogic Server mit Regeln, die URL-Pfade inspizieren und normalisieren, bevor Anfragen weitergeleitet werden. Aktivieren Sie das WebLogic-Server-Audit-Logging, um unautorisierte administrative Aktionen zu erkennen.
Technische Details
CVE-2020-14750 betrifft die Console-Komponente von Oracle WebLogic Server in den Versionen 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, Authentifizierungskontrollen der WebLogic Administration Console über speziell präparierte HTTP-Anfragen zu umgehen. Dies steht in Zusammenhang mit CVE-2020-14882, einer früheren Authentifizierungsumgehung in derselben Komponente, und CVE-2020-14750 stellt effektiv eine Möglichkeit dar, den ursprünglichen Patch zu umgehen. Der Angriff erfolgt über HTTP, was bedeutet, dass Standard-Webverkehr die Exploit-Payload tragen kann, ohne typische Netzwerk-Sicherheitskontrollen auszulösen. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass die Schwachstelle trivial von jeder Netzwerkposition ohne Anmeldeinformationen ausnutzbar ist und eine erfolgreiche Ausnutzung zur vollständigen Übernahme der WebLogic-Server-Instanz mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit führt.
Häufig gestellte Fragen
Wird CVE-2020-14750 aktiv ausgenutzt?
Ja. CVE-2020-14750 ist im CISA-Katalog der Known Exploited Vulnerabilities gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,44 % (99,99. Perzentil) zeigt, dass sie zu den am aktivsten ausgenutzten Schwachstellen weltweit gehört. Derzeit sind keine Ransomware-Kampagnen spezifisch mit dieser Schwachstelle assoziiert.
Welche Produkte sind betroffen?
CVE-2020-14750 betrifft Oracle WebLogic Server in den Versionen 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0. Die Schwachstelle betrifft die WebLogic Server Console-Komponente.
Wie behebe ich CVE-2020-14750?
Wenden Sie sofort den Oracle-Sicherheits-Alert-Patch für CVE-2020-14750 an. Aktualisieren Sie alle WebLogic-Server-Instanzen auf die neuesten gepatchten Versionen. Stellen Sie sicher, dass sowohl CVE-2020-14750 als auch der verwandte CVE-2020-14882-Patch angewendet werden. Beschränken Sie den Zugriff auf die WebLogic Administration Console auf vertrauenswürdige interne Netzwerke.
Wie schwerwiegend ist CVE-2020-14750?
CVE-2020-14750 hat einen CVSS 3.1-Score von 9,8 (KRITISCH). Mit einem EPSS-Score im 99,99. Perzentil ist sie eine der am aktivsten ausgenutzten Schwachstellen überhaupt. In Kombination mit CVE-2020-14882 ermöglicht sie vollständige nicht authentifizierte Remote-Code-Execution gegen WebLogic Server und erfordert sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.