آسیب‌پذیری (CVE-2020-14882 (WebLogic

معرفی اکسپلویت

پلتفرم آسیب‌پذیر:‌  Oracle WebLogic Server

نسخه‌های آسیب‌پذیر: 10.3.6.0.0 تا 14.1.1.0.0

تاریخ ارائه وصله امنیتی: October 2020

ماژول آسیب‌پذیر: کامپوننت Console

نوع آسیب‌پذیری: Unauthenticated Remote Code Execution

مقدمه

آسیب‌پذیری با عنوان CVE-2020-14882 که دارای درجه خطر بسیار بالا (CVSS 9.8) بوده در کامپوننت Console از نرم‌افزار Weblogic Server وجود دارد. مهاجم با استفاده از این آسیب‌پذیری می‌تواند از طریق پروتکل HTTP و پورت 7001 که مختص Weblogic Server است به یک سرور Weblogic دسترسی RCE یافته و Commandهای موردنظر خود را روی آن اجرا کند.


جزئیات آسیب‌پذیری

برای استفاده از این آسیب‌پذیری نیاز به داشتن Username و Password سرور Weblogic نیست و تنها ارسال یک درخواست POST یا GET به این سرور که حاوی کدهای مخرب باشد کافی است. دستورات مخرب به عنوان مقدار یکی از پارامترهای ارسالی در URL با نام handle برای سرور ارسال می‌گردند.  این دستورات می‌توانند دسترسی به یک سرور آلوده، اجرای یک پردازه همچون cmd.exe با سطح دسترسی بالا و یا هر دستور دیگری باشند. امکان اجرای دستورات، بدون نیاز به Username و Password مستلزم استفاده از دایرکتوری‌های */images/ و */css/ ، به دلیل عدم نیاز به احراز هویت، و همین‌طور افزودن مقدار ثابت %252e%252e%252f به درخواست ارسالی خواهد بود. در تصاویر زیر چند نمونه از این نوع حملات قابل مشاهده است:

 

 

تصویر 1 این تصویر مربوط به بدافزار ماینری است که اخیرا رایج شده است.

تصویر 1 این تصویر مربوط به بدافزار ماینری است که اخیرا رایج شده است.

 

 

تصویر 2

 

 

به منظور گرفتن امضای شبکه، سرور Weblogic بر روی یک VM راه‌اندازی شد، سپس در مرورگر VM دیگری یک درخواست GET برای سرور Weblogic ارسال شد. ارسال این درخواست که حاوی کدهای مخرب بود، سبب دسترسی به یک سرور مخرب و سپس اجرای یک پردازه Powershell و در نهایت آلوده شدن سیستم به بدافزار ماینر sysupdate شد. در تصویر زیر درخواست مخرب ارسالی قابل مشاهده است:

 

تصویر 3 درخواست مخرب

تصویر 3 درخواست مخرب

با توجه به تحقیقات انجام شده علاوه بر */images/ و */css/  مسیرهای دیگری نیز در سرور Weblogic وجود دارند که برای دسترسی به آن‌ها نیاز به احراز هویت نیست. که شامل موارد زیر هستند:
  1. * /bea-helpsets/
  2. * /framework/skins/wlsconsole/images/
  3. * /framework/skins/wlsconsole/css/
  4. */framework/skeletons/wlsconsole/js/
  5. */framework/skeletons/wlsconsole/css/
  6. * /common/

نحوه وصله آسیب‌پذیری

‫وصله امنیتی ارائه شده توسط شرکت Oracle برای آسیب‌پذیری مذکور در لینک زیر در دسترس است:

https://www.oracle.com/security-alerts/cpuoct2020.html

 

 

  مقاله برای 1 نفر مفید بود.