CVE-2022-21587
Oracle E-Business Suite Unspecified Vulnerability
Beschreibung
CVE-2022-21587 ist eine kritische Sicherheitslücke in Oracle Web Applications Desktop Integrator, einer Komponente der Oracle E-Business Suite. Die Schwachstelle beruht auf einer fehlenden Authentifizierung (Missing Authentication for Critical Function) in der Upload-Komponente, die es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP ermöglicht, das System vollständig zu kompromittieren. Betroffen sind die Versionen 12.2.3 bis 12.2.11 der Oracle E-Business Suite. Die CISA hat CVE-2022-21587 in ihren KEV-Katalog aufgenommen und bestätigt die aktive Ausnutzung, wobei die Schwachstelle auch mit Ransomware-Kampagnen in Verbindung gebracht wird. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 94,4 % stellt diese Schwachstelle ein maximales Sicherheitsrisiko dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | e-business suite | >= 12.2.3, <= 12.2.11 |
Referenzen
- http://packetstormsecurity.com/files/171208/Oracle-E-Business-Suite-EBS-Unauthenticated-Arbitrary-File-Upload.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.oracle.com/security-alerts/cpuoct2022.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-21587(US Government Resource)
Schwachstellentyp
CWE-306: Missing Authentication for Critical Function
Bei CVE-2022-21587 fehlt in der Upload-Komponente des Oracle Web Applications Desktop Integrator die erforderliche Authentifizierungsprüfung. Dadurch können nicht authentifizierte Angreifer über das Netzwerk auf kritische Funktionen zugreifen, die eigentlich nur autorisierten Benutzern zur Verfügung stehen sollten, und beliebige Dateien hochladen.
Mehr erfahren: CWE-306 — Missing Authentication for Critical Function
Auswirkungsanalyse
CVE-2022-21587 in der Oracle E-Business Suite ist über das Netzwerk ausnutzbar, ohne dass physischer Zugang zum System erforderlich ist, und die Angriffskomplexität ist gering. Keine Authentifizierung erforderlich: Ein Angreifer benötigt keinerlei Zugangsdaten, um die Schwachstelle auszunutzen. Keine Benutzerinteraktion nötig: Der Angriff kann vollständig automatisiert ohne Mitwirkung eines Benutzers erfolgen. Vertraulichkeit (Hoch): Sämtliche in der E-Business Suite gespeicherten Geschäftsdaten, einschließlich Finanzdaten, Personalinformationen und Kundendaten, sind gefährdet. Integrität (Hoch): Angreifer können Daten in der Oracle-Datenbank manipulieren und schadhafte Dateien auf dem Server ablegen. Verfügbarkeit (Hoch): Das gesamte ERP-System kann außer Betrieb gesetzt werden, was kritische Geschäftsprozesse unterbricht. Mit einem CVSS-Score von 9.8 (CRITICAL) ist dies die höchstmögliche Risikoeinstufung. Der EPSS-Score von 94,4 % und die bestätigte Nutzung durch Ransomware-Gruppen unterstreichen die extreme Dringlichkeit von Gegenmaßnahmen.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2022-21587 über Packet Storm Security, der einen unauthentifizierten beliebigen Datei-Upload in der Oracle E-Business Suite demonstriert. Die CISA hat die aktive Ausnutzung dieser Schwachstelle in freier Wildbahn bestätigt und sie mit Ransomware-Kampagnen in Verbindung gebracht, was die Bedrohungslage erheblich verschärft. Der EPSS-Score von 94,4 % (99,97. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an. Organisationen, die Oracle E-Business Suite in den betroffenen Versionen einsetzen, sollten umgehend handeln.
Behebung
- Sofortige Maßnahme gemäß CISA-Vorgabe: Wenden Sie die vom Hersteller bereitgestellten Gegenmaßnahmen an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfügbar sind. Die CISA-Frist war der 23. Februar 2023.
- Oracle Critical Patch Update anwenden: Installieren Sie den Oracle Critical Patch Update vom Oktober 2022, der den Fix für CVE-2022-21587 enthält. Aktualisieren Sie die Oracle E-Business Suite auf eine gepatchte Version innerhalb des Bereichs 12.2.3 bis 12.2.11.
- Zugriffsbeschränkung auf die Upload-Komponente: Beschränken Sie den Netzwerkzugriff auf den Oracle Web Applications Desktop Integrator durch Firewall-Regeln und Reverse-Proxy-Konfiguration. Erlauben Sie den Zugriff nur von vertrauenswürdigen internen Netzwerken und implementieren Sie zusätzliche Authentifizierungsschichten vor der betroffenen Komponente.
- Überwachung und Kompromittierungsprüfung: Überprüfen Sie Web-Server-Logs und Oracle-Audit-Trails auf verdächtige Upload-Aktivitäten, insbesondere unautorisierte Dateizugriffe auf den Desktop Integrator. Suchen Sie nach unbekannten Dateien im Upload-Verzeichnis und ungewöhnlichen Datenbankänderungen.
- Langfristige Absicherung: Implementieren Sie eine Web Application Firewall (WAF) vor der Oracle E-Business Suite, um unautorisierte Zugriffe auf kritische Endpunkte zu blockieren. Stellen Sie sicher, dass alle Komponenten mit kritischen Funktionen eine ordnungsgemäße Authentifizierung erzwingen.
Technische Details
CVE-2022-21587 betrifft die Upload-Komponente des Oracle Web Applications Desktop Integrator in der Oracle E-Business Suite, Versionen 12.2.3 bis 12.2.11. Die Schwachstelle fällt unter CWE-306 (Missing Authentication for Critical Function) und entsteht, weil die Upload-Funktionalität keine ausreichende Authentifizierungsprüfung durchführt, bevor sie Dateien von eingehenden HTTP-Anfragen akzeptiert. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass die Schwachstelle netzwerkbasiert mit geringer Komplexität, ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar ist. Ein Angreifer kann durch speziell präparierte HTTP-Anfragen beliebige Dateien auf den Server hochladen, was zur Ausführung von serverseitigem Code und der vollständigen Übernahme des Oracle-E-Business-Suite-Systems führt. Die Auswirkungen umfassen den vollständigen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung und ihrer Daten.
Häufig gestellte Fragen
Wird CVE-2022-21587 aktiv ausgenutzt?
Ja, CVE-2022-21587 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen und die aktive Ausnutzung in freier Wildbahn bestätigt. Die Schwachstelle wird zudem mit Ransomware-Kampagnen in Verbindung gebracht, was die Bedrohungslage zusätzlich verschärft.
Welche Produkte sind von CVE-2022-21587 betroffen?
Betroffen ist der Oracle Web Applications Desktop Integrator als Komponente der Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.11. Alle Installationen in diesem Versionsbereich, die den Desktop Integrator nutzen, sind potenziell verwundbar.
Wie behebe ich CVE-2022-21587?
Installieren Sie den Oracle Critical Patch Update vom Oktober 2022, der den Fix für diese Schwachstelle enthält. Bis zur Anwendung des Patches sollten Sie den Netzwerkzugriff auf den Desktop Integrator durch Firewall-Regeln einschränken und verdächtige Aktivitäten überwachen.
Wie schwerwiegend ist CVE-2022-21587?
Mit einem CVSS-Score von 9.8 (CRITICAL) nach CVSS v3.1 gehört CVE-2022-21587 zur höchsten Schweregrad-Kategorie. Der EPSS-Score von 94,4 % (99,97. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit. Die Kombination aus unauthentifiziertem Zugriff, einfacher Ausnutzung und vollständiger Systemübernahme macht diese Schwachstelle besonders gefährlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.