CVE-2023-21839
Oracle WebLogic Server Unspecified Vulnerability
Beschreibung
CVE-2023-21839 ist eine hochkritische Schwachstelle im Oracle WebLogic Server, einem zentralen Bestandteil der Oracle Fusion Middleware. Die Sicherheitslücke in der Core-Komponente ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugang über die Protokolle T3 oder IIOP auf kritische oder sämtliche Daten des WebLogic Servers zuzugreifen. Betroffen sind die Versionen 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0. Mit einem CVSS-Score von 7.5 (High), einem EPSS-Score von 94,1 % und der Aufnahme in den CISA KEV-Katalog stellt CVE-2023-21839 eine ernstzunehmende Bedrohung für alle Organisationen mit exponierten WebLogic-Instanzen dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | weblogic server | 12.2.1.3.0; 12.2.1.4.0; 14.1.1.0.0 |
Referenzen
- http://packetstormsecurity.com/files/172882/Oracle-Weblogic-PreAuth-Remote-Command-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://www.oracle.com/security-alerts/cpujan2023.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-21839(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
Bei CVE-2023-21839 spielt die unsichere Deserialisierung (CWE-502) eine zentrale Rolle. Der Oracle WebLogic Server verarbeitet serialisierte Objekte über die T3- und IIOP-Protokolle ohne ausreichende Validierung, wodurch ein Angreifer manipulierte Objekte einschleusen kann, die beim Deserialisieren unbeabsichtigte Aktionen auslösen. In Kombination mit fehlender Authentifizierung ermöglicht dies den unbefugten Zugriff auf sensible Daten.
Mehr erfahren: CWE-502 — Deserialization of Untrusted Data
CWE-306: Missing Authentication for Critical Function
CVE-2023-21839 basiert zusätzlich auf fehlender Authentifizierung für kritische Funktionen (CWE-306). Die verwundbaren T3- und IIOP-Endpunkte des Oracle WebLogic Servers erfordern keine Authentifizierung, sodass ein Angreifer ohne gültige Anmeldedaten auf kritische Serverfunktionen zugreifen und sensible Daten auslesen kann.
Mehr erfahren: CWE-306 — Missing Authentication for Critical Function
Auswirkungsanalyse
CVE-2023-21839 wird mit einem CVSS-Score von 7.5 (High) bewertet und ermöglicht den unbefugten Zugriff auf kritische oder sämtliche Daten des Oracle WebLogic Servers. Die Schwachstelle ist remote ohne physischen Zugang ausnutzbar (Attack Vector: Network) mit niedriger Angriffskomplexität. Keine Authentifizierung wird benötigt und keine Benutzerinteraktion ist erforderlich, was die Ausnutzung besonders einfach macht. Die Vertraulichkeit (High) ist vollständig betroffen, während Integrität und Verfügbarkeit nicht beeinträchtigt werden — der Angriff zielt ausschließlich auf das Auslesen sensibler Daten ab. Der EPSS-Score von 94,1 % (99,9. Perzentil) signalisiert eine nahezu sichere aktive Ausnutzung. Da WebLogic Server häufig in geschäftskritischen Unternehmensanwendungen eingesetzt wird, kann die Offenlegung vertraulicher Daten erhebliche wirtschaftliche und regulatorische Konsequenzen haben.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-21839 über Packet Storm Security, der eine Pre-Auth Remote Command Execution demonstriert. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt, mit einer Behebungsfrist bis zum 22. Mai 2023. Der EPSS-Score von 94,1 % (99,9. Perzentil) platziert CVE-2023-21839 unter den am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Oracle WebLogic Server ist ein bevorzugtes Angriffsziel, da es häufig aus dem Internet erreichbar ist und der Exploit ohne Authentifizierung funktioniert.
Behebung
- Oracle Critical Patch Update anwenden: Installieren Sie umgehend den Oracle Critical Patch Update vom Januar 2023, wie im Oracle Security Alert beschrieben. Die CISA-Frist zur Behebung war der 22. Mai 2023.
- Betroffene WebLogic-Versionen identifizieren: Prüfen Sie alle Oracle WebLogic Server Instanzen in Ihrer Umgebung auf die betroffenen Versionen 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0. Erstellen Sie eine vollständige Bestandsaufnahme.
- T3- und IIOP-Protokolle einschränken: Blockieren Sie den externen Zugriff auf T3- und IIOP-Protokolle mittels Firewall-Regeln. Konfigurieren Sie T3-Protokollfilter im WebLogic Server, um Verbindungen auf vertrauenswürdige IP-Bereiche zu beschränken. WebLogic-Administrationsports sollten niemals direkt aus dem Internet erreichbar sein.
- Monitoring und Erkennung: Überwachen Sie WebLogic-Server-Logs auf verdächtige T3- und IIOP-Verbindungen, insbesondere von unbekannten IP-Adressen. Prüfen Sie auf Indicators of Compromise und ungewöhnliche Datenzugriffspatterns.
- Langfristige Härtung: Implementieren Sie eine strikte Netzwerksegmentierung für Application-Server-Tier. Aktivieren Sie Authentifizierung für alle T3- und IIOP-Endpunkte und setzen Sie Deserialisierungsfilter ein, um die Verarbeitung nicht vertrauenswürdiger Objekte zu verhindern. Evaluieren Sie regelmäßig die Angriffsfläche exponierter WebLogic-Instanzen.
Technische Details
CVE-2023-21839 basiert auf einer Kombination aus unsicherer Deserialisierung (CWE-502) und fehlender Authentifizierung (CWE-306) in der Core-Komponente des Oracle WebLogic Servers. Die Schwachstelle betrifft die T3- und IIOP-Protokolle, über die der WebLogic Server serialisierte Java-Objekte empfängt und verarbeitet. Da diese Endpunkte keine Authentifizierung erfordern, kann ein Angreifer manipulierte serialisierte Objekte senden, die beim Deserialisieren den Zugriff auf kritische Serverdaten ermöglichen. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) zeigt, dass der Angriff remote mit niedriger Komplexität, ohne Privilegien und ohne Benutzerinteraktion durchführbar ist, wobei ausschließlich die Vertraulichkeit (High) betroffen ist. Betroffen sind Oracle WebLogic Server Versionen 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0.
Häufig gestellte Fragen
Wird CVE-2023-21839 aktiv ausgenutzt?
Ja, CVE-2023-21839 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen und eine Behebungsfrist bis zum 22. Mai 2023 festgelegt. Der EPSS-Score von 94,1 % (99,9. Perzentil) bestätigt die extreme Ausnutzungswahrscheinlichkeit. Öffentlicher Exploit-Code ist über Packet Storm Security verfügbar und demonstriert Pre-Auth Remote Command Execution.
Welche Produkte sind von CVE-2023-21839 betroffen?
CVE-2023-21839 betrifft den Oracle WebLogic Server in den Versionen 12.2.1.3.0, 12.2.1.4.0 und 14.1.1.0.0. Der WebLogic Server ist ein Bestandteil der Oracle Fusion Middleware und wird weltweit in geschäftskritischen Enterprise-Anwendungen eingesetzt. Alle Instanzen mit exponierten T3- oder IIOP-Endpunkten sind verwundbar.
Wie behebe ich CVE-2023-21839?
Installieren Sie umgehend den Oracle Critical Patch Update vom Januar 2023. Als Sofortmaßnahme blockieren Sie den externen Zugriff auf T3- und IIOP-Protokolle mittels Firewall-Regeln und beschränken Sie Verbindungen auf vertrauenswürdige IP-Bereiche. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-21839?
CVE-2023-21839 hat einen CVSS-Score von 7.5 (High) und ermöglicht den unbefugten Zugriff auf sämtliche Daten des WebLogic Servers ohne Authentifizierung. Die Schwachstelle ist mit niedriger Komplexität remote ausnutzbar. Der EPSS-Score von 94,1 % platziert sie unter den am wahrscheinlichsten ausgenutzten Schwachstellen weltweit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.