Was ist passiert?
Eine Sicherheitslücke in Oracles WebLogic-Server wird derzeit aktiv angegriffen. Die US-amerikanische IT-Sicherheitsbehörde CISA warnt vor der Schwachstelle und hat sie in ihren „Known Exploited Vulnerabilities“-Katalog aufgenommen. US-Bundesbehörden haben bis zum 4. Juni Zeit, die Lücke zu schließen. Die Schwachstelle ist bereits seit Mitte 2024 bekannt, ein Sicherheitsupdate stellte Oracle mit dem Critical Patch Update im Juli 2024 bereit.
Die Details
Betroffen ist die Komponente „Core“ der Oracle Fusion Middleware. Nicht authentifizierte Angreifer können über die proprietären Protokolle T3 und IIOP aus dem Netz auf verwundbare WebLogic-Server zugreifen und diese kompromittieren. Zu den genauen Angriffsmechanismen macht Oracle keine weiteren Angaben.
Erfolgreiche Angriffe können zu unbefugtem Zugriff auf kritische Daten oder sogar zu vollständigem Zugriff auf alle auf dem WebLogic-Server verfügbaren Daten führen. Die Schwachstelle ist als CVE-2024-21182 registriert und mit einem CVSS-Wert von 7.5 als „hoch“ eingestuft.
Als verwundbar gelten die Softwareversionen Oracle WebLogic-Server 12.2.1.4.0 und 14.1.1.0.0. Möglicherweise sind auch weitere, nicht mehr unterstützte Versionen betroffen. Die CISA nennt wie üblich keine Details zu Umfang oder Art der laufenden Angriffe, sodass auch keine Indicators of Compromise (IOC) vorliegen, nach denen IT-Verantwortliche gezielt suchen könnten.
Einordnung
Die aktive Ausnutzung einer bereits ein Jahr alten Schwachstelle zeigt ein wiederkehrendes Muster: Patches stehen zwar zur Verfügung, werden aber in der Praxis offenbar nicht flächendeckend eingespielt. Gerade Middleware-Komponenten wie Oracle WebLogic-Server sind häufig tief in Unternehmensinfrastrukturen integriert und laufen mitunter über Jahre ohne Update, weil Änderungen an produktiven Systemen als riskant gelten.
Der Fall reiht sich in eine aktuelle Häufung von Meldungen zu angegriffenen Sicherheitslücken ein. Erst am Montag dieser Woche wurde bekannt, dass auch eine Schwachstelle in Palo Alto Networks' Netzwerkbetriebssystem PAN-OS bereits aktiv ausgenutzt wird – dort ermöglichen Angreifer die Umgehung von Sicherheitsmaßnahmen, und zwar nur rund zwei Wochen nach Bekanntwerden und Patch-Bereitstellung durch den Hersteller. Diese Entwicklung verdeutlicht, dass Angreifer zunehmend schneller reagieren, sobald Schwachstellen öffentlich werden oder Patches erscheinen.
Praxis-Tipps
- IT-Verantwortliche sollten umgehend prüfen, ob in ihrer Netzwerktopologie Oracle WebLogic-Server der Versionen 12.2.1.4.0 oder 14.1.1.0.0 eingesetzt werden.
- Das Critical Patch Update von Oracle aus dem Juli 2024 sollte, falls noch nicht geschehen, umgehend eingespielt werden.
- Auch nicht mehr unterstützte, ältere WebLogic-Versionen sollten überprüft und gegebenenfalls aus dem produktiven Betrieb entfernt oder isoliert werden.
- Der Zugriff über die Protokolle T3 und IIOP sollte, wo betrieblich vertretbar, auf vertrauenswürdige Netzwerksegmente beschränkt werden.
- Generell gilt: Eingesetzte Software sollte kontinuierlich auf einem aktuellen, geschützten Stand gehalten werden, da sich Meldungen über aktiv angegriffene Sicherheitslücken derzeit häufen.
Ausblick
Da die CISA keine detaillierten Angaben zu den Angriffen macht, bleibt IT-Verantwortlichen vorerst nur der proaktive Weg über Patch-Management und Härtung der Systeme. Angesichts der Frist bis zum 4. Juni für US-Bundesbehörden ist davon auszugehen, dass die Ausnutzung der Lücke weiter zunehmen könnte, sollte sie nicht zeitnah geschlossen werden. Unternehmen außerhalb der US-Bundesverwaltung sind zwar nicht an diese Frist gebunden, sollten die Dringlichkeit der Warnung jedoch ebenso ernst nehmen, um nicht zum Ziel opportunistischer Angreifer zu werden, die bekannte, ungepatchte Schwachstellen systematisch ausnutzen.
