Die US-amerikanische Cybersicherheitsbehörde CISA warnt vor Angriffen auf eine Sicherheitslücke in Oracle HTTP Server und Oracle Weblogic Server Proxy Plug-in, durch die Angreifer Instanzen vollständig kompromittieren können. Updates stehen seit dem Critical Patch Update (CPU) von Oracle im Januar dieses Jahres bereit.
In ihrer Warnung schreibt die CISA keine näheren Informationen zu den beobachteten Angriffen. Es handelt sich demnach jedoch um eine Schwachstelle, die Angreifer aus dem Netz ohne vorherige Authentifizierung leicht missbrauchen können, um verwundbare Versionen der Oracle-Software Oracle HTTP Server und Oracle Weblogic Server Proxy Plug-in 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0 vollständig zu kompromittieren. Angriffe könnten auch auf weitere Produkte möglich sein (CVE-2026-21962, CVSS 10.0, Risiko „kritisch“).
Die Melder der Schwachstelle geben auf GitHub mehr Hinweise, worum es sich bei der Lücke handelt. Demnach handelt es sich um eine Path-Traversal-Schwachstelle, die die Ausweitung der Rechte und das Ausführen von eingeschleustem Code ermöglicht. Der Fehler liegt in den Mechanismen zur Normalisierung von URIs. Dadurch können Angreifer mit sorgsam manipulierten URIs Sicherheitsmechanismen umgehen. Proof-of-Concept-Code liegt ebenfalls in dem Repository.
Aktualisierung anwenden
Seit dem Januar steht aktualisierte Software bereit, um die Sicherheitslücke zu schließen. IT-Verantwortliche sollten die Updates spätestens jetzt anwenden, um die Angriffsfläche zu reduzieren. Sofern die Oracle-Systeme aus dem Netz erreichbar sind, sollten sie zudem als kompromittiert erachtet und entsprechend behandelt werden. Da die CISA keine näheren Informationen zu den Angriffen gibt, sind leider keine hilfreichen Hinweise auf Angriffe (Indicators of Compromise, IOC) verfügbar.
Zuletzt wurden im Juni dieses Jahres Angriffe auf Oracles WebLogic-Server bekannt. Dabei hatten die bösartigen Akteure es auf eine Sicherheitslücke abgesehen, die seit Mitte 2024 bekannt war.
(dmk)
English (US) ·