Oracle WebLogic Server Güvenlik Açıkları
**Oracle WebLogic Server Güvenlik Açıkları (CVE-2023-22089 ve CVE-2023-22072)**
Oracle WebLogic Server'ı etkileyen iki güvenlik açığı belirlendi: CVE-2023-22089 ve CVE-2023-22072[1][2][5][6]. Her iki güvenlik açığı da Oracle Fusion Middleware'in Çekirdek bileşenini etkiliyor ve Oracle WebLogic Server'ın 12.2.1.4.0 ve 14.1.1.0.0 sürümlerinde mevcut[1][2][5][6]. CVE-2023-22072 ayrıca 12.2.1.3.0 sürümünde de mevcut[2].
CVE-2023-22089, T3 veya IIOP üzerinden ağ erişimi olan kimliği doğrulanmamış bir saldırganın Oracle WebLogic Server'ı tehlikeye atmasına olanak tanıyan kolayca istismar edilebilir bir güvenlik açığıdır. Başarılı saldırılar, kritik verilere yetkisiz erişim veya Oracle WebLogic Server'ın erişebildiği tüm verilere tam erişimle sonuçlanabilir[1][6]. Bu güvenlik açığı için CVSS 3.1 Taban Puanı 7,5'tir (Gizlilik etkileri) [1].
CVE-2023-22072, T3 veya IIOP üzerinden ağ erişimi olan kimliği doğrulanmamış bir saldırganın Oracle WebLogic Server'ı tehlikeye atmasına olanak tanıyan kolayca istismar edilebilir bir güvenlik açığıdır. Başarılı saldırılar Oracle WebLogic Server'ın ele geçirilmesiyle sonuçlanabilir[2][6]. Bu güvenlik açığı için CVSS 3.1 Temel Puanı 9,8'dir (Gizlilik, Bütünlük ve Kullanılabilirlik etkileri) [2].
Oracle, Ekim 2023'te bu güvenlik açıklarını ele alan bir Kritik Yama Güncellemesi (CPU) yayınladı[3][6]. Oracle WebLogic Server kullanıcılarının, istismar riskini azaltmak için CPU'yu mümkün olan en kısa sürede uygulamaları önerilir.
Alıntılar:
[1] https://www.cvedetails.com/vulnerability-list/vendor_id-93/product_id-14534/Oracle-Weblogic-Server.html
[2] https://nvd.nist.gov/vuln/detail/CVE-2023-22072
[3] https://www.oracle.com/security-alerts/cpuoct2023.html
[4] https://www.oracle.com/security-alerts/cpuoct2023verbose.html
[5] https://www.cvedetails.com/vulnerability-list/vendor_id-93/product_id-14534/year-2023/Oracle-Weblogic-Server.html