[NCSC-varsel] Tilgjengelig Proof of Concept til sårbarhet i Oracle WebLogic

NCSC ønsker å varsle om at det nå har blitt publisert offentlig tilgjengelig kode (proof of concept) som utnytter sårbarheten CVE-2020-14882. Denne tillater uautentisert, ekstern kjøring av kode via et HTTP Get-request mot en Oracle WebLogic Server (CVSS 9.8) [1,2].

Sårbarheten ble rettet i Oracle sin kvartalvise sikkerhetsoppdatering for oktober 2020. NCSC er på nåværende tidspunkt ikke kjent med aktiv utnyttelse av denne sårbarheten, men det har blitt rapportert om en økt mengde scanning for å undersøke om virksomheter har sårbare WebLogic-servere.

Sårbare versjoner:

• Oracle WebLogic Server 10.3.6.0.0
• Oracle WebLogic Server 12.1.3.0.0
• Oracle WebLogic Server 12.2.1.3.0
• Oracle WebLogic Server 12.2.1.4.0
• Oracle WebLogic Server 14.1.1.0.0

Anbefalinger:

• NCSC anbefaler alle om å oppdatere sårbare servere så fort det lar seg gjøre.

Referanser:

[1] https://nvd.nist.gov/vuln/detail/CVE-2020-14882

[2] https://www.oracle.com/security-alerts/cpuoct2020.html