Oracle WebLogic Server הוא שרת אפליקציות שמריץ מערכות ארגוניות, הרבה מהן מערכות ליבה שנכתבו לפני שנים וממשיכות לעבוד. ברשומה מתוארת חולשה שמאפשרת לתוקף מהרשת להשתלט על השרת בלי שם משתמש וסיסמה, בציון 9.8 מתוך 10. מינואר 2025 היא רשומה כמנוצלת בפועל.

מה החולשה?

WebLogic מקשיב לא רק ל-HTTP. יש לו שני פרוטוקולים משלו, T3 ו-IIOP, שנועדו לאפשר לאפליקציות Java לדבר ביניהן ולהעביר אובייקטים שלמים הלוך וחזור. הרשומה מציינת את שניהם כדרך שבה מגיעים אל החולשה.

וכאן נכנסת לתמונה הנקודה המעשית. פרוטוקול שמעביר אובייקטים צריך לקבל מהרשת רצף בתים ולהרכיב ממנו מחדש אובייקט בזיכרון. אם השרת מרכיב את מה שנשלח אליו בלי להגביל אילו סוגי אובייקטים הוא מוכן ליצור, מי ששולח את הבתים משפיע על מה שייווצר בצד השני. משם הדרך להרצת קוד קצרה.

הרשומה עצמה אינה מפרטת את המנגנון מעבר לציון הפרוטוקולים, ולכן גם אנחנו לא נשלים אותו. מה שהיא כן אומרת מפורשות הוא שהניצול קל, אינו דורש אימות, ומוביל להשתלטות על השרת. פרסום פומבי שהרשומה מקשרת אליו מתאר את הניצול כבעיית deserialization, כלומר אותה הרכבה מחדש של אובייקט שתוארה כאן. גם Zero Day Initiative פרסם על החולשה שתי התראות נפרדות, ZDI-20-504 וZDI-20-570.

לרשומה אין CWE משויך, כלומר היא אינה מסווגת את החולשה לאף משפחה.

מי מושפע?

הרשומה מונה ארבע גרסאות של WebLogic Server: 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 ו-12.2.1.4.0.

בישראל זה אינו מוצר שנתקלים בו בבית, אבל הוא יושב בארגונים גדולים, בגופים ציבוריים ובכל מקום שמריץ מערכות Oracle ותיקות. הפרט המעשי הוא התאריכים: הרשומה פורסמה באפריל 2020, והחולשה נכנסה לקטלוג המנוצלות בינואר 2025. שרת שלא עודכן בחלון הזה עדיין חשוף.

האם מנוצלת בפועל?

כן. ב-7 בינואר 2025 הוסיפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV שלה, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל. מועד התיקון שנקבע לרשויות הפדרליות בארצות הברית היה 28 בינואר 2025, שלושה שבועות בלבד.

חולשה בת חמש שנים שנכנסת לקטלוג מעידה בדרך כלל על דבר אחד: יש עדיין שרתים שלא עודכנו, ומישהו מצא אותם.

מה עושים?

התיקון הוא העדכון הרבעוני של Oracle מאפריל 2020, והוא המקור שהרשומה מפנה אליו. אם אתם על אחת מארבע הגרסאות שברשימה, זה העדכון להתקין.

במקביל, בדקו למי בכלל פתוחים T3 ו-IIOP. שני הפרוטוקולים האלה נועדו לתקשורת בין רכיבים, וכמעט אין מצב שבו הם צריכים להיות נגישים מהאינטרנט. חסימה שלהם בחומת האש, או הגבלה לכתובות שבאמת צריכות אותם, מצמצמת את החשיפה גם מול חולשות עתידיות באותם פרוטוקולים.

ואם אינכם יודעים אם יש לכם WebLogic בכלל, זה המקום להתחיל. שרת כזה מגיע לפעמים כחלק ממוצר Oracle גדול יותר, ומי שמפעיל את המוצר אינו בהכרח יודע מה רץ מתחתיו.