HTTP Server and Oracle Weblogic Server Proxy Plug-in

Betroffen ist der Oracle HTTP Server zusammen mit dem Oracle WebLogic Server Proxy Plug-in, das als Bindeglied zwischen einem vorgelagerten Webserver – etwa Apache HTTP Server oder Microsoft IIS – und dahinterliegenden WebLogic-Anwendungen dient. In dieser Weiterleitungskomponente greift die Zugriffskontrolle nicht korrekt. Ein Angreifer kann die Lücke aus der Ferne über gewöhnliche HTTP-Anfragen ausnutzen, ohne sich zuvor anmelden oder gültige Zugangsdaten besitzen zu müssen; besondere Voraussetzungen oder eine Mitwirkung von Nutzern sind nicht erforderlich. Gelingt der Angriff, kann er sämtliche über die betroffene Komponente erreichbaren Daten einsehen und außerdem geschäftskritische Daten neu anlegen, verändern oder löschen. Da die Komponente als Vermittler vor anderen Systemen sitzt, bleibt der Schaden nicht auf sie beschränkt, sondern kann auf dahinterliegende Anwendungen und Dienste übergreifen. Solche Proxy-Komponenten stehen typischerweise am Netzwerkrand und sind damit unmittelbar exponiert.