CVE-2022-21445
Oracle ADF Faces Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2022-21445 ist eine kritische Schwachstelle im Oracle Application Development Framework (ADF), speziell in der Komponente ADF Faces, die Bestandteil der Oracle Fusion Middleware ist. Ein nicht authentifizierter Angreifer kann ueber HTTP-Netzwerkzugriff das Oracle ADF vollstaendig kompromittieren. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 92,03 % (99,7. Perzentil) stellt diese Schwachstelle ein erhebliches Risiko dar. Die CISA hat CVE-2022-21445 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 09. Oktober 2024. Betroffen sind die Versionen 12.2.1.3.0 und 12.2.1.4.0.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | application development framework | 12.2.1.3.0; 12.2.1.4.0 |
Referenzen
- https://www.oracle.com/security-alerts/cpuapr2022.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-21445(US Government Resource)
Schwachstellentyp
Fuer CVE-2022-21445 wurde keine spezifische CWE-Klassifikation zugewiesen. Die Schwachstelle betrifft die ADF Faces-Komponente des Oracle Application Development Framework und ermoeglicht Remote Code Execution (RCE) ueber HTTP. Basierend auf der Angriffscharakteristik und dem Oracle-ADF-Kontext handelt es sich hoechstwahrscheinlich um eine Deserialisierungs-Schwachstelle in der Verarbeitung von ADF-Faces-Requests. Oracle ADF Faces verwendet serialisierte Java-Objekte fuer die Zustandsverwaltung, die bei unsicherer Verarbeitung zur Ausfuehrung beliebigen Codes missbraucht werden koennen.
Auswirkungsanalyse
Vollstaendige Kompromittierung der ADF-Anwendung: CVE-2022-21445 ermoeglicht die komplette Uebernahme aller auf Oracle ADF basierenden Anwendungen. Vertraulichkeit (C:H) bedeutet vollstaendigen Zugriff auf alle Anwendungsdaten, einschliesslich Benutzerdatenbanken, Geschaeftsdaten und Konfigurationsgeheimnisse. Integritaet (I:H) erlaubt das Manipulieren von Geschaeftsprozessen, das Einschleusen von Schadcode und das Veraendern von Anwendungsdaten. Verfuegbarkeit (A:H) gibt dem Angreifer die Moeglichkeit, den Anwendungsbetrieb vollstaendig zu stoeren oder zu beenden.
Triviale Ausnutzbarkeit ueber HTTP: Der CVSS-Vektor zeigt eine netzwerkbasierte Ausnutzung (AV:N) mit niedriger Komplexitaet (AC:L), ohne erforderliche Privilegien (PR:N) und ohne Benutzerinteraktion (UI:N). Da ADF-Anwendungen ueber HTTP bereitgestellt werden, sind sie typischerweise direkt aus dem Internet erreichbar, was die Angriffsflaeche maximiert.
EPSS und Ransomware-Risiko: Der EPSS-Score von 92,03 % (99,7. Perzentil) belegt eine extrem hohe Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert. ADF-Anwendungen sind jedoch oft geschaeftskritisch und verarbeiten sensitive Daten, was sie zu attraktiven Zielen fuer Ransomware-Gruppen macht.
Exploit-Reifegrad
CVE-2022-21445 weist eine hohe Exploit-Reife auf. Die Schwachstelle wurde von der CISA in den KEV-Katalog aufgenommen, was eine bestaetigte aktive Ausnutzung in freier Wildbahn belegt. Die Behebungsfrist wurde auf den 09. Oktober 2024 festgesetzt.
EPSS-Kontext: Mit einem EPSS-Score von 92,03 % (99,7. Perzentil) gehoert CVE-2022-21445 zu den am haeufigsten ausgenutzten Schwachstellen weltweit. Oracle-ADF-Schwachstellen sind fuer Angreifer besonders attraktiv, da ADF als Grundlage fuer zahlreiche geschaeftskritische Unternehmensanwendungen dient.
Oeffentliche Dokumentation: Oracle hat die Schwachstelle im Critical Patch Update vom April 2022 adressiert. Die Verfuegbarkeit des Patches in Kombination mit der Schwere der Schwachstelle erleichtert Angreifern das Reverse-Engineering des Exploits.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Die HTTP-basierte Angreifbarkeit ohne Authentifizierung macht diese Schwachstelle jedoch zu einem idealen Einfallstor fuer Angreifer, die sich lateralen Zugang zu Unternehmensnetzen verschaffen wollen.
Behebung
- Oracle Critical Patch Update einspielen: Installieren Sie umgehend den Critical Patch Update (CPU) vom April 2022, der unter dem Oracle Security Alert verfuegbar ist. Dieser Patch behebt CVE-2022-21445 fuer die betroffenen ADF-Versionen 12.2.1.3.0 und 12.2.1.4.0.
- Web Application Firewall (WAF) konfigurieren: Implementieren Sie WAF-Regeln, die verdaechtige ADF-Faces-Requests erkennen und blockieren. Achten Sie insbesondere auf ungewoehnliche serialisierte Payloads in HTTP-POST-Anfragen an ADF-Faces-Endpunkte.
- Netzwerkzugriff einschraenken: Beschraenken Sie den HTTP-Zugriff auf ADF-Anwendungen auf autorisierte Benutzer und Netzwerke. Implementieren Sie eine vorgelagerte Authentifizierung (z.B. ueber einen Reverse Proxy mit SSO), um unauthentifizierte Zugriffe auf ADF-Anwendungen zu verhindern.
- Monitoring und Incident Response aktivieren: Ueberwachen Sie ADF-Anwendungs-Logs auf verdaechtige Aktivitaeten, insbesondere auf ungewoehnliche HTTP-Requests an ADF-Faces-Endpunkte. Implementieren Sie Alerting fuer anomale Zugriffsmuster und halten Sie einen Incident-Response-Plan bereit.
- Patch-Management-Prozess fuer Oracle etablieren: Stellen Sie sicher, dass Oracle Critical Patch Updates vierteljaehrlich zeitnah eingespielt werden. Pruefen Sie alle Oracle-Produkte in Ihrer Umgebung auf aktuelle Patch-Staende und etablieren Sie einen regelmaessigen Update-Zyklus.
Technische Details
Die Schwachstelle befindet sich in der ADF Faces-Komponente des Oracle Application Development Framework (ADF), das Bestandteil der Oracle Fusion Middleware ist. ADF Faces ist ein JSF-basiertes (JavaServer Faces) UI-Framework, das fuer die Erstellung von Web-Oberflaechen in Oracle-Unternehmensanwendungen verwendet wird.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) ueber HTTP mit niedriger Komplexitaet (AC:L). Es sind keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich. Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: ADF Faces verarbeitet HTTP-Anfragen, die serialisierte Zustandsinformationen enthalten. Ein Angreifer sendet speziell praeparierte HTTP-Requests an einen ADF-Faces-Endpunkt, die manipulierte Daten enthalten. Der Server verarbeitet diese Daten ohne ausreichende Validierung, was zur Ausfuehrung beliebigen Codes auf dem Server fuehrt. Da ADF-Anwendungen standardmaessig ueber HTTP/HTTPS erreichbar sind, ist kein spezieller Protokollzugriff wie bei T3/IIOP erforderlich, was die Ausnutzung besonders einfach macht. Betroffen sind die ADF-Versionen 12.2.1.3.0 und 12.2.1.4.0.
Häufig gestellte Fragen
Welche Oracle-Anwendungen basieren auf ADF und sind potenziell betroffen?
Oracle ADF wird als Grundlage fuer zahlreiche Oracle-Produkte verwendet, darunter Oracle E-Business Suite, Oracle Fusion Applications und kundenspezifische Anwendungen, die mit Oracle JDeveloper erstellt wurden. Jede Anwendung, die ADF Faces in den betroffenen Versionen verwendet, ist potenziell anfaellig.
Kann ich pruefen, ob meine ADF-Version betroffen ist?
Pruefen Sie die installierte Version des Oracle Application Development Framework in Ihrer WebLogic-Server-Installation. Die betroffenen Versionen sind 12.2.1.3.0 und 12.2.1.4.0. Die Version finden Sie in den WebLogic-Server-Installations-Properties oder ueber die Oracle Home-Verzeichnisstruktur.
Reicht eine WAF als Schutz gegen CVE-2022-21445?
Eine Web Application Firewall (WAF) kann als zusaetzliche Schutzschicht dienen, ist aber kein Ersatz fuer den offiziellen Oracle-Patch. WAF-Regeln koennen umgangen werden, insbesondere wenn der genaue Exploit-Mechanismus variiert. Der Oracle Critical Patch Update sollte immer die primaere Massnahme sein.
Wie dringend muss der Patch eingespielt werden?
Die Dringlichkeit ist sehr hoch. CVE-2022-21445 hat einen CVSS-Score von 9.8, ist im CISA-KEV-Katalog gelistet und hat einen EPSS-Score von ueber 92 %. Die Kombination aus HTTP-basierter Ausnutzung ohne Authentifizierung und der weiten Verbreitung von ADF macht sofortiges Patchen erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.