Zespół badaczy z KnownSec 404 opublikował 25 kwietnia ostrzeżenie przed krytyczną podatnością zero-day w aplikacji serwera Oracle WebLogic, którą niektórzy napastnicy mogli już wykorzystać.
Oracle WebLogic to skalowalny, oparty na Javie, wielowarstwowy korporacyjny serwer aplikacji, który umożliwia firmom szybkie wdrażanie nowych produktów i usług w chmurze.
Aplikacja zawiera lukę w zabezpieczeniach umożliwiającą zdalne wykonanie kodu w procesie deserializacji, która dotyczy wszystkich wersji oprogramowania, jeśli włączone są komponenty „wls9_async_response.war” i „wls-wsat.war”. Podatność umożliwia atakującemu zdalne wykonanie dowolnych poleceń na zagrożonych serwerach poprzez wysłanie specjalnie spreparowanego żądania HTTP – bez konieczności autoryzacji.
Zespół Oracle nie wydał jeszcze poprawki dla podatności oznaczonej CNVD-C-2019-48814.
Źródło: https://thehackernews.com/2019/04/oracle-weblogic-hacking.html
+48 22242 1996
+48 571 207 996
cert@pse.pl 
klucz publiczny