Oracle WebLogic Server OS command injection sårbarhed under aktivt angreb

Af Eskil Sørensen, 04/06/24

Syv år gammel sårbarhed er kommet i KEV-kataloget.

CISA har føjet en sikkerhedsfejl, der påvirker Oracle WebLogic Server, til kataloget over kendte udnyttede sårbarheder. Det skriver The Hacker News og Security Affairs.

Sårbarheden har id’et CVE-2017-3506 (CVSS-score: 7,4), og den vedrører et problem vedr. command injection i operativsystemet. Den gør det muligt for angribere at opnå uautoriseret adgang i modtagelige servere og overtage kontrollen. Det kan ske via en specielt udformet HTTP-anmodning, der indeholder et ondsindet XML-dokument.

Oracle WebLogic Server er et produkt i Fusion Middleware-pakken, og med et CVE-årsnummer på 2017 er det altså en syv år gammel sag, som det amerikanske myndigheders opmærksomhed nu er henledt på.

The Hacker News skriver, at en Kina-baseret gruppe kendt som 8220 Gang (alias Water Sigbin) har en historik med at udnytte sårbarheden siden begyndelsen af sidste år. Udnyttelsen har til formål at optage upatchede enheder i et botnet, der arbejder med udvinding af kryptovaluta. Også en anden sårbarhed i Oracle WebLogic-serveren (CVE-2023-21839) skal være anvendt til samme formål.

CISA har givet føderale enheder frem til den 24. juni til at rette sårbarheden.