Oracle WebLogic Server OS Command Injection Flaw Under Aktiv attack

 

U.S.C. Cybersecurity and Infrastructure Security Agency (CISA) lade på torsdagen till en säkerhetsbrist som påverkar Oracle WebLogic Server till katalogen Known Exploited Vulnerabilities (KEV), med hänvisning till bevis på aktivt utnyttjande.

Spåras som CVE-2017-3506 (CVSS poäng: 7,4), problemet gäller en sårbarhet för kommandoinjektion av operativsystem (OS) som kan utnyttjas för att få obehörig åtkomst till mottagliga servrar och ta fullständig kontroll.

"Oracle WebLogic Server, en produkt inom Fusion Middleware sviten, innehåller en sårbarhet för OS kommandoinjektion som gör att en angripare kan exekvera godtycklig kod via en specialgjord HTTP förfrågan som inkluderar ett skadligt XML dokument," säger CISA.

Även om byrån inte avslöjade arten av attacker som utnyttjar sårbarheten, har den Kina baserade krypto jackningsgruppen känd som 8220 Gang (alias Water Sigbin) en historia av att utnyttja den sedan början av förra året för att samordna oparpade enheter till en crypto-mining botnet.

Enligt en nyligen publicerad rapport publicerad av Trend Micro har 8220 Gang observerats som weaponizing flaws i Oracle WebLogic servern (CVE-2017-3506 och CVE-2023-21839) för att starta en cryptocurrency miner fillöst i minnet med hjälp av ett skal eller PowerShell skript beroende på vilket operativsystem som det är inriktat på.

"Gänget använde fördunklingstekniker, såsom hexadecimal kodning av URL:er och användning av HTTP över port 443, vilket möjliggör smyg leverans av nyttolast," säger säkerhetsforskaren Sunil Bharti. "PowerShell skriptet och den resulterande batchfilen involverade komplex kodning, med användning av miljövariabler för att dölja skadlig kod i till synes godartade skriptkomponenter."

I ljuset av det aktiva utnyttjandet av CVE-2017-3506, rekommenderas federala myndigheter att tillämpa de senaste korrigeringarna senast den 24 juni 2024, för att skydda sina nätverk mot potentiella hot.