Oracle reagiert auf schwere Sicherheitslücke

Sicherheitslücke betrifft Kombination aus Weblogic und Apache. Oracle hat eine Sicherheitswarnung herausgegeben, nachdem eine schwere Sicherheitslücke im Applikationsserver Weblogic entdeckt wurde. Dafür ist bereits ein Exploit erhältlich. Anwender sollten daher so schnell wie möglich die von Oracle empfohlenen Maßnahmen umsetzen.

30. Juli 2008 um 11:38 Uhr / Julius Stiebert

Die Sicherheitswarnung ist die erste, seit Oracle im Januar 2005 begann, seine regelmäßigen Patchpakete zu veröffentlichen. Code, der die im Weblogic-Applikationsserver entdeckte Lücke ausnutzt, ist jedoch bereits im Internet verfügbar. Da Angreifer auf dem betroffenen Rechner kein Nutzerkonto besitzen müssen, ist das Sicherheitsleck besonders schwerwiegend. Der CVSS-Eintrag erhielt dann mit 10.0 auch die höchstmögliche Bewertung.

Von dem Problem betroffen sind die Weblogic-Versionen 6.1 bis einschließlich 10 auf allen Plattformen, wenn sie auf einem Apache-Webserver betrieben werden und das Apache-Plug-in vor dem 28. Juli 2008 erstellt wurde.

Als Abwehrmaßnahme empfiehlt Oracle, den Wert für die "LimitRequestLine" in der Apache-Konfiguration auf "4000" zu setzen. Damit wird die URL-Länge auf maximal 4.000 Byte beschränkt. Sollte diese Beschränkung nicht ausreichen, soll "mod_security" verwendet werden.