Oracle phát hành bản vá khẩn cấp cho lỗ hổng nghiêm trọng trên máy chủ WebLogic

[WhiteHat News #ID:2018]

Oracle vừa phát hành bản vá khẩn cấp cho lỗ hổng thực thi mã từ xa trong một số phiên bản máy chủ WebLogic của hãng.

Lỗ hổng CVE-2020-14750 (điểm CVSS 9.8) không khó để khai thác và đặc biệt không cần xác thực (có thể bị khai thác qua mạng mà không cần tên và mật khẩu của người dùng).

Trong một khuyến cáo, Oracle cho biết: “Do mức độ nghiêm trọng của lỗ hổng này, Oracle khuyến cáo khách hàng cần áp dụng Bản cập nhật quan trọng của tháng 10/2020 ngay khi có thể”.

Trong khi chi tiết của lỗ hổng chưa được tiết lộ, cảnh báo của Oracle cho biết, lỗ hổng tồn tại trong bảng điều khiển của WebLogic Server và có thể bị khai thác thông qua giao thức mạng HTTP.

WebLogic Server của Oracle là một máy chủ ứng dụng phổ biến được sử dụng trong việc xây dựng và triển khai các ứng dụng Java EE dành cho doanh nghiệp. Các phiên bản bị ảnh hưởng bởi lỗ hổng này gồm có 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 và 14.1.1.0.0.

Lỗ hổng có liên quan đến lỗi thực thi mã từ xa trong WebLogic Server CVE-2020-14882 được xử lý trong Bản cập nhật tháng 10 của hãng. Các phiên bản bị ảnh hưởng bao gồm 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 và 14.1.1.0.0.

Tuy nhiên, các chuyên gia bảo mật cho biết thực tế việc vá lỗi CVE-2020-14882 vẫn có thể bị qua mặt bằng cách chỉ thay đổi một trường ký tự trong truy vấn, từ đó sẽ vượt qua được danh sách đen của path-traversal, được dùng để chặn lỗ hổng.

Theo các chuyên gia của SANS Technology Institute, dựa trên hệ thống giám sát honeypot của hãng, các tội phạm mạng đang tích cực khai thác lỗ hổng này.

Theo Threat Post​