Cosa è successo?
Una vulnerabilità di sicurezza in Oracle WebLogic Server è attualmente sotto attacco attivo. L'agenzia statunitense per la sicurezza informatica CISA avverte della falla e l'ha inserita nel suo catalogo "Known Exploited Vulnerabilities". Le agenzie federali statunitensi hanno tempo fino al 4 giugno per correggere la vulnerabilità. La falla è nota già dalla metà del 2024, e Oracle ha rilasciato un aggiornamento di sicurezza con il Critical Patch Update di luglio 2024.
I dettagli
È interessato il componente "Core" di Oracle Fusion Middleware. Aggressori non autenticati possono accedere via rete a server WebLogic vulnerabili attraverso i protocolli proprietari T3 e IIOP e compromettere il sistema. Oracle non fornisce ulteriori dettagli sui meccanismi di attacco precisi.
Attacchi riusciti possono portare ad accessi non autorizzati a dati critici o addirittura all'accesso completo a tutti i dati disponibili sul server WebLogic. La vulnerabilità è registrata come CVE-2024-21182 e classificata come "alta" con un punteggio CVSS di 7.5.
Sono considerate vulnerabili le versioni software Oracle WebLogic Server 12.2.1.4.0 e 14.1.1.0.0. Potrebbero essere interessate anche altre versioni non più supportate. Come consuetudine, la CISA non fornisce dettagli sulla portata o sulla natura degli attacchi in corso, per cui non sono disponibili nemmeno Indicators of Compromise (IOC) che i responsabili IT potrebbero ricercare in modo specifico.
Inquadramento
Lo sfruttamento attivo di una vulnerabilità già nota da un anno evidenzia uno schema ricorrente: le patch sono disponibili, ma in pratica non vengono evidentemente applicate su vasta scala. In particolare i componenti middleware come Oracle WebLogic Server sono spesso profondamente integrati nelle infrastrutture aziendali e talvolta rimangono in funzione per anni senza aggiornamenti, poiché le modifiche ai sistemi in produzione sono considerate rischiose.
Il caso si inserisce in una recente serie di segnalazioni relative a vulnerabilità sotto attacco. Proprio lunedì di questa settimana era emerso che anche una falla nel sistema operativo di rete PAN-OS di Palo Alto Networks viene già attivamente sfruttata: in quel caso gli aggressori riescono a eludere le misure di sicurezza, e ciò è avvenuto solo circa due settimane dopo la divulgazione della vulnerabilità e il rilascio della patch da parte del produttore. Questo sviluppo evidenzia come gli aggressori reagiscano sempre più rapidamente non appena le vulnerabilità diventano pubbliche o vengono rilasciate le patch.
Consigli pratici
- I responsabili IT dovrebbero verificare immediatamente se nella propria topologia di rete vengono utilizzati server Oracle WebLogic nelle versioni 12.2.1.4.0 o 14.1.1.0.0.
- Il Critical Patch Update di Oracle di luglio 2024 dovrebbe essere applicato immediatamente, se non è già stato fatto.
- Anche le versioni WebLogic più vecchie e non più supportate dovrebbero essere verificate e, se necessario, rimosse dall'ambiente di produzione o isolate.
- L'accesso tramite i protocolli T3 e IIOP dovrebbe essere limitato, ove operativamente possibile, a segmenti di rete affidabili.
- In generale: il software in uso dovrebbe essere costantemente mantenuto aggiornato e protetto, poiché attualmente si moltiplicano le segnalazioni di vulnerabilità sotto attacco attivo.
Prospettive
Poiché la CISA non fornisce indicazioni dettagliate sugli attacchi, per il momento ai responsabili IT non resta che l'approccio proattivo basato sulla gestione delle patch e sull'irrobustimento dei sistemi. Considerata la scadenza del 4 giugno per le agenzie federali statunitensi, è probabile che lo sfruttamento della falla possa aumentare ulteriormente se non verrà corretta in tempi brevi. Le aziende esterne all'amministrazione federale statunitense non sono vincolate da questa scadenza, ma dovrebbero comunque considerare con la stessa serietà l'urgenza dell'avviso, per non diventare bersaglio di aggressori opportunisti che sfruttano sistematicamente vulnerabilità note e non corrette.
