Taggat med: WebLogic

Aktiva attacker mot Oracle WebLogic

En ny säkerhetsbugg har identifierats i Oracle WebLogic och utnyttjas just nu av angripare på Internet för att installera kryptominers. Sårbarheten är ett serialiseringsproblem och har fått CVE nummer 2019-2725. CVSS base score ligger på hela 9.8.

Du bör uppgradera till version 10.3.6 (?) och en patch för version 12.1.3 kommer på måndag uppger Oracle.

SANS ISC som kör en Weblogic honeypot fick upp följande meddelande:

####<Apr 28, 2019 10:47:02 PM UTC> <Error> <HTTP> <0aa00a61ebfc> <AdminServer> <[ACTIVE] ExecuteThread: '0' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <> <1556491622309> <BEA-101019> <[ServletContext@2141998910[app:bea_wls_internal module:bea_wls_internal.war path:/bea_wls_internal spec-version:null]] Servlet failed with IOException
java.io.IOException: Cannot run program "wget": java.io.IOException: error=2, No such file or directory

Angriparen försöker här köra wget, men wget finns inte installerat på systemet. Även finns det indikationer på att Muhstik Botnet samt Sodinokibi ransomware nyttjar säkerhetsbuggen.

ISC har även publicerat en PCAP-fil med denna förfrågan:

Oracle åtgärdar 237 sårbarheter

oracle säkerhetsbrister

Oracle har släppt sin January 2018 Oracle Critical Patch Update (CPU) som åtgärdar hela 237 sårbarheter. Några av de produkter där Oracle åtgärdar sårbarheter är följande:

  • MySQL
  • VirtualBox
  • WebCenter
  • HTTP Server
  • PeopleSoft
  • Solaris
  • Database Server
  • Java SE

Tittar vi närmare på exempelvis VirtualBox så ser vi en hel mängd CVE:er såsom CVE-2018-2694, CVE-2018-2698 osv. Dessa ska vara åtgärdade i version 5.2.6 men tyvärr så säger Changelog inget om detta, vilket är underligt. Även värt att nämna att PeopleSoft nyligen har haft problem med WebLogic genom att illasinnade personer nyttjat en tidigare sårbarhet för att köra krypto-miners, läs mer här.

CERT-SE vid Myndigheten för samhällsskydd och beredskap har även gått ut med en varning samt listat de sårbarheter som åtgärdas där de med högst CVSSv3 listas:

Database Server
CVE-2017-10282 Core RDBMS (CVSS 9.1 av 10.0)

Communications Applications
CVE-2017-5645, CVE-2015-3253 BRM – Elastic Charging Engine (CVSS 9.8 av 10.0)
CVE-2017-5645 Convergent Charging Controller (CVSS 9.8 av 10.0)
CVE-2017-5645 Network Charging and Control (CVSS 9.8 av 10.0)
CVE-2017-5645 Oracle Communications Services Gatekeeper (CVSS 9.8 av 10.0)

E-Business Suite
CVE-2018-2656 General Ledger (CVSS 9.1 av 10.0)
CVE-2018-2655 Oracle Work in Process (CVSS 9.1 av 10.0)

Oracle Fusion Middleware
CVE-2017-10352 WebLogic Server (CVSS 9.9 av 10)
CVE-2017-5461 Directory Server Enterprise Edition (CVSS 9.8 av 10)
CVE-2017-5461 iPlanet Web Server (CVSS 9.8 av 10)
CVE-2017-5645 Oracle WebLogic Server (CVSS 9.8 av 10)

Oracle Hospitality Applications
CVE-2018-2697 Hospitality Cruise Fleet Management (CVSS 9.1 av 10.0)

Detta är bara några av de rättade sårbarheterna. Besök Oracles webbsida [1] för att se vilka fler produkter som är sårbara.