Oracle WebLogic Server Güvenlik Açıkları
**Oracle WebLogic Server Güvenlik Açıkları (CVE-2023-22089 and CVE-2023-22072)**
Oracle WebLogic Server'ı etkileyen iki güvenlik açığı belirlendi: CVE-2023-22089 ve CVE-2023-22072 [1][2][5][6]. Her iki güvenlik açığı da Oracle Fusion Middleware'in Çekirdek bileşenini etkiliyor ve Oracle WebLogic Server'ın 12.2.1.4.0 ve 14.1.1.0.0 sürümlerinde mevcut.[1][2][5][6]. CVE-2023-22072, 12.2.1.3.0 sürümünde de mevcut[2].
CVE-2023-22089, T3 veya IIOP üzerinden ağ erişimi olan, kimliği doğrulanmamış bir saldırganın Oracle WebLogic Server'ı tehlikeye atmasına olanak tanıyan, kolayca istismar edilebilen bir güvenlik açığıdır. Başarılı saldırılar, kritik verilere yetkisiz erişimle veya Oracle WebLogic Server'ın erişebildiği tüm verilere tam erişimle sonuçlanabilir[1][6]. Bu güvenlik açığının CVSS 3.1 Temel Puanı 7,5'tir (Gizlilik etkileri)[1].
CVE-2023-22072 aynı zamanda T3 veya IIOP aracılığıyla ağ erişimine sahip, kimliği doğrulanmamış bir saldırganın Oracle WebLogic Server'ı tehlikeye atmasına olanak tanıyan, kolayca istismar edilebilen bir güvenlik açığıdır. Başarılı saldırılar Oracle WebLogic Server'ın ele geçirilmesiyle sonuçlanabilir[2][6]. Bu güvenlik açığı için CVSS 3.1 Temel Puanı 9,8'dir (Gizlilik, Bütünlük ve Kullanılabilirlik etkileri)[2].
Oracle, Ekim 2023'te bu güvenlik açıklarını gideren bir Kritik Yama Güncellemesi (CPU) yayınladı[3][6]. Kötüye kullanım riskini azaltmak için Oracle WebLogic Server kullanıcılarının CPU'yu mümkün olan en kısa sürede uygulamaları önerilir.
Citations:
[1] https://www.cvedetails.com/vulnerability-list/vendor_id-93/product_id-14534/Oracle-Weblogic-Server.html
[2] https://nvd.nist.gov/vuln/detail/CVE-2023-22072
[3] https://www.oracle.com/security-alerts/cpuoct2023.html
[4] https://www.oracle.com/security-alerts/cpuoct2023verbose.html
[5] https://www.cvedetails.com/vulnerability-list/vendor_id-93/product_id-14534/year-2023/Oracle-Weblogic-Server.html
[6] https://www.tenable.com/plugins/nessus/183311