CVE-2020-2883
Oracle WebLogic Server Unspecified Vulnerability
Beschreibung
CVE-2020-2883 ist eine kritische Schwachstelle im Oracle WebLogic Server mit einem CVSS-Score von 9.8 (CRITICAL). Die Sicherheitslücke in der Core-Komponente von Oracle Fusion Middleware ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugang über IIOP oder T3 den Server vollständig zu übernehmen. Mit einem EPSS-Score von 94,36 % (100,0. Perzentil) gehört sie zu den am meisten ausgenutzten Schwachstellen überhaupt. Die Schwachstelle wurde in den CISA KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | weblogic server | 10.3.6.0.0; 12.1.3.0.0; 12.2.1.3.0; 12.2.1.4.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157950/WebLogic-Server-Deserialization-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- https://www.oracle.com/security-alerts/cpuapr2020.html(Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-20-504/(Third Party Advisory, VDB Entry)
- https://www.zerodayinitiative.com/advisories/ZDI-20-570/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-2883(US Government Resource)
Schwachstellentyp
Es wurde keine spezifische CWE-Kategorie zugewiesen. Basierend auf dem Angriffskontext und den verfügbaren technischen Details handelt es sich um eine Deserialisierungs-Schwachstelle im Oracle WebLogic Server. Der auf Packet Storm Security veröffentlichte Exploit bestätigt dies. Unsichere Deserialisierung ist eine der gefährlichsten Schwachstellenklassen, da sie typischerweise eine direkte Remote-Code-Ausführung ermöglicht.
Auswirkungsanalyse
Die Auswirkungen sind maximal. Der Netzwerk-Angriffsvektor (AV:N), die niedrige Angriffskomplexität (AC:L) und das Fehlen jeglicher Authentifizierungsanforderungen (PR:N) machen die Schwachstelle trivial ausnutzbar. Vertraulichkeit, Integrität und Verfügbarkeit sind alle mit "High" bewertet, was eine vollständige Übernahme des WebLogic Servers ermöglicht. Oracle WebLogic Server ist ein weit verbreiteter Anwendungsserver in Unternehmensumgebungen, der häufig geschäftskritische Anwendungen, ERP-Systeme und Middleware-Dienste hostet. Eine Kompromittierung kann den Zugriff auf alle gehosteten Anwendungen und deren Datenbanken ermöglichen. Der EPSS-Score von 94,36 % liegt im 100,0. Perzentil — das bedeutet, dass diese Schwachstelle die höchste beobachtete Ausnutzungswahrscheinlichkeit aller bekannten Schwachstellen aufweist. Die CISA-KEV-Aufnahme mit Frist bis 28.01.2025 bestätigt anhaltende aktive Ausnutzung, obwohl die Schwachstelle bereits seit April 2020 bekannt ist. Der Ransomware-Status ist als "Unknown" klassifiziert.
Exploit-Reifegrad
Die Exploit-Reife ist maximal und seit Jahren etabliert. Mehrere öffentliche Exploit-Quellen existieren: Packet Storm Security hostet einen Deserialisierungs-RCE-Exploit, und die Zero Day Initiative hat zwei Advisories veröffentlicht (ZDI-20-504 und ZDI-20-570). Der EPSS-Score von 94,36 % (100,0. Perzentil) bestätigt die anhaltend massive Ausnutzung. Bemerkenswert ist, dass CISA die Schwachstelle erst im Januar 2025 in den KEV-Katalog aufgenommen hat — fast fünf Jahre nach der ursprünglichen Veröffentlichung im April 2020. Dies zeigt, dass ungepatchte WebLogic-Server nach wie vor aktiv angegriffen werden. Der Ransomware-Status ist als "Unknown" geführt.
Behebung
-
Oracle Critical Patch Update anwenden — Installieren Sie umgehend den Oracle CPU April 2020 oder einen neueren CPU. Details sind im Oracle Security Alert verfügbar. Betroffene Versionen: WebLogic Server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 und 12.2.1.4.0.
-
T3- und IIOP-Protokolle einschränken — Wenn ein sofortiges Patching nicht möglich ist, deaktivieren oder beschränken Sie den Zugriff auf die T3- und IIOP-Protokolle über Netzwerk-Firewall-Regeln. Diese Protokolle sind die Angriffsvektoren für die Deserialisierungs-Ausnutzung.
-
WebLogic Server nicht exponieren — Stellen Sie sicher, dass WebLogic-Server-Ports (standardmäßig 7001) nicht direkt aus dem Internet erreichbar sind. Setzen Sie einen Reverse Proxy ein und beschränken Sie den Zugriff auf vertrauenswürdige Netzwerke.
-
WebLogic-Version aktualisieren — Angesichts des Alters der Schwachstelle und der betroffenen Versionen sollten Organisationen eine Migration auf eine aktuelle, unterstützte WebLogic-Version planen, die alle bekannten Sicherheitslücken adressiert.
-
Monitoring und Incident Response — Überwachen Sie WebLogic-Server auf verdächtige T3/IIOP-Verbindungen und Deserialisierungs-Angriffsmuster. Implementieren Sie Web Application Firewall (WAF)-Regeln zur Erkennung von Serialisierungs-Payloads.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt eine maximal kritische Schwachstelle. Angriffsvektor (AV:N) ermöglicht Remote-Angriffe über das Netzwerk, typischerweise über die T3- oder IIOP-Protokolle auf Port 7001. Angriffskomplexität (AC:L) zeigt, dass keine besonderen Bedingungen erforderlich sind. Erforderliche Berechtigungen (PR:N) und keine Benutzerinteraktion (UI:N) bedeuten, dass der Angriff vollständig automatisiert durchgeführt werden kann. Der technische Angriffsmechanismus basiert auf unsicherer Java-Deserialisierung. Oracle WebLogic Server akzeptiert über die T3- und IIOP-Protokolle serialisierte Java-Objekte, die bei der Deserialisierung beliebigen Code ausführen können. Der Angreifer sendet ein speziell präpariertes serialisiertes Objekt (Gadget Chain), das beim Deserialisieren auf dem Server Betriebssystembefehle ausführt. Die ZDI-Advisories (ZDI-20-504 und ZDI-20-570) beschreiben verschiedene Gadget-Chain-Varianten für die Ausnutzung. Betroffen sind die Versionen 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 und 12.2.1.4.0.
Häufig gestellte Fragen
Warum wird eine Schwachstelle von 2020 erst 2025 in den KEV-Katalog aufgenommen?
CISA nimmt Schwachstellen in den KEV-Katalog auf, wenn aktive Ausnutzung in freier Wildbahn beobachtet wird. Die Aufnahme im Januar 2025 zeigt, dass nach wie vor ungepatchte WebLogic-Server existieren und aktiv angegriffen werden. Dies unterstreicht die Wichtigkeit eines zeitnahen Patch-Managements.
Was sind T3 und IIOP und warum sind sie relevant?
T3 ist das proprietäre Kommunikationsprotokoll von Oracle WebLogic Server, IIOP (Internet Inter-ORB Protocol) wird für CORBA-Kommunikation verwendet. Beide Protokolle ermöglichen die Übertragung serialisierter Java-Objekte. Die Schwachstelle wird ausgenutzt, indem manipulierte serialisierte Objekte über diese Protokolle gesendet werden.
Ist mein System noch gefährdet, obwohl der Patch seit 2020 verfügbar ist?
Wenn Sie eine der betroffenen Versionen (10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0) ohne den Oracle CPU April 2020 oder neuer betreiben, ist Ihr System weiterhin verwundbar. Der EPSS-Score von 94,36 % zeigt, dass Angreifer aktiv nach ungepatchten WebLogic-Servern suchen.
Kann ein Web Application Firewall (WAF) vor dieser Schwachstelle schützen?
Eine WAF kann nur begrenzt schützen, da der Angriff über die T3/IIOP-Protokolle erfolgt, die von Standard-WAFs oft nicht inspiziert werden. Die effektivste Maßnahme ist das Patching des Servers und die Einschränkung des T3/IIOP-Zugriffs auf vertrauenswürdige Netzwerke.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.