Oracle · WebLogic Server
CVE-2019-2725
Oracle WebLogic Server, Injection
Cos'è
Vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (subcomponent: Web Services). Supported versions that are affected are 10.3.6.0.0 and 12.1.3.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle WebLogic Server. Successful attacks of this vulnerability can result in takeover of Oracle WebLogic Server. CVSS 3.0 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CISA: Injection vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (subcomponent: Web Services).
Cosa fare
Apply updates per vendor instructions.
Scadenza per le agenzie federali USA: 10 luglio 2022
- Aggiunta all'elenco CISA
- 10 gennaio 2022
- Pubblicato
- 26 aprile 2019
- Gravità
- Alta 7,5 CVSS 3.0
- Probabilità di attacchi nei prossimi 30 giorni (EPSS)
- >99,9% tra il 0,1% più alto di tutte le vulnerabilità note
- Tipo di debolezza
- CWE-74
- Più dettagli
- NVD · CVE.org · CISA
Tutte le fonti (8)
- http://www.securityfocus.com/bid/108074
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2725-5466295.html
- https://support.f5.com/csp/article/K90059138
- https://www.exploit-db.com/exploits/46780/
- http://packetstormsecurity.com/files/152756/Oracle-Weblogic-Server-Deserialization-Remote-Code-Execution.html
- http://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html
- https://www.oracle.com/security-alerts/cpujan2020.html
- https://www.oracle.com/security-alerts/alert-cve-2019-2725.html#AppendixFMW
Altre falle sfruttate di Oracle
| Aggiunto | Vulnerabilità | Prodotto | Gravità | Probabilità di attacco |
|---|---|---|---|---|
| 1 giu 2026 | Unspecified | WebLogic Server | Alta 7,5 | 74% |
| 7 gen 2025 | Unspecified | WebLogic Server | Critica 9,8 | 95% |
| 18 set 2024 | Remote Code Execution | WebLogic Server | Critica 9,8 | 95% |
| 3 giu 2024 | OS Command Injection | WebLogic Server | Alta 7,4 | 96% |
| 1 mag 2023 | Unspecified | WebLogic Server | Alta 7,5 | 99,9% |
| 8 set 2022 | Unspecified | WebLogic Server | Critica 9,8 | >99,9% |
| 10 feb 2022 | Corporation WebLogic Server Remote Code Execution | WebLogic Server | Alta 7,5 | >99,9% |
| 3 nov 2021 | Deserialization of Untrusted Data | WebLogic Server | Critica 9,8 | 95% |
Fonti: Known Exploited Vulnerabilities (CISA, pubblico dominio), CVE records (cve.org) e EPSS (FIRST). La probabilità di attacco è la stima EPSS che qualcuno provi a sfruttare la falla nei prossimi 30 giorni.