NVD / CVE Program· CNA oracle

CVE-2020-2555: Vulnerability in the Oracle Coherence product of Oracle Fusion Middleware (component: Caching,CacheStore,Invocation).

КритическаяCVSS 9.8 · v3.1KEVГотовый эксплойт Исправление не зафиксировано

Оценка Noroxi

Приоритет: Срочно (оценка срочности 98/100)

CISA подтвердило эксплуатацию в реальных атаках (3 нояб. 2021 г.). Срок устранения для федеральных ведомств США: 3 мая 2022 г.
Опубликован готовый модуль атаки (Metasploit); для эксплуатации не нужна особая квалификация.
Вероятность эксплуатации в ближайшие 30 дней: 97,1% (FIRST EPSS); выше, чем у 99,8% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Согласно записи, исправленной версии пока нет.

Установите исправление сегодня или закройте доступ. До выхода исправления ограничьте доступ к затронутому компоненту и следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

Vulnerability in the Oracle Coherence product of Oracle Fusion Middleware (component: Caching,CacheStore,Invocation). Supported versions that are affected are 3.7.1.0, 12.1.3.0.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3 to compromise Oracle Coherence. Successful attacks of this vulnerability can result in takeover of Oracle Coherence. CVSS 3.0 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

BDU:2020-00538

Опубликовано: 15 янв. 2020 г.
Обновлено: 16 июн. 2026 г.
EPSS: 97,1 % · 99-й процентиль
CWE: CWE-502

Инструменты для отчёта

JSON

Оценка срочности

Срочно

Установите исправление сегодня или закройте доступ.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 29 / 30 · 97,1 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: да
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: 9,8
CNA · oracle: 9,8; совпадают

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 3 нояб. 2021 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 3 мая 2022 г..

Узнайте, когда запись изменится

В CISA KEV: эксплуатация в реальных атаках подтверждена
Есть боевой эксплойт
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
oracle	access manager	cpe:2.3:a:oracle:access_manager
oracle	coherence	cpe:2.3:a:oracle:coherence
oracle	commerce platform	cpe:2.3:a:oracle:commerce_platform
oracle	communications diameter signaling router	cpe:2.3:a:oracle:communications_diameter_signaling_router
oracle	healthcare data repository	cpe:2.3:a:oracle:healthcare_data_repository
oracle	rapid planning	cpe:2.3:a:oracle:rapid_planning
oracle	retail assortment planning	cpe:2.3:a:oracle:retail_assortment_planning
oracle	utilities framework	cpe:2.3:a:oracle:utilities_framework
oracle	webcenter portal	cpe:2.3:a:oracle:webcenter_portal

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (oracle). Не зависят от анализа CPE в NVD и обычно опережают его.

Oracle Corporation Utilities Framework
- 4.2.0.2.0, 4.2.0.3.0, 4.3.0.1.0-4.3.0.6.0, 4.4.0.0.0, 4.4.0.2.0затронута
Oracle Corporation WebCenter Portal
- 12.2.1.3.0, 12.2.1.4.0затронута

Затронутые версии · NVD (20)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

oracle access manager11.1.2.3.0
oracle coherence12.1.3.0.0
oracle coherence12.2.1.3.0
oracle coherence12.2.1.4.0
oracle coherence3.7.1.0
oracle commerce platform11.3.0 и новее · до 11.3.2 включительно
oracle commerce platform11.0.0
oracle commerce platform11.1.0
oracle commerce platform11.2.0
oracle communications diameter signaling router8.0.0 и новее · до 8.2.2 включительно
oracle healthcare data repository7.0.1
oracle rapid planning12.1
oracle rapid planning12.2
oracle retail assortment planning15.0
oracle retail assortment planning16.0
oracle utilities framework4.3.0.1.0 и новее · до 4.3.0.6.0 включительно
oracle utilities framework4.2.0.2.0
oracle utilities framework4.2.0.3.0
oracle utilities framework4.4.0.0.0
oracle utilities framework4.4.0.2.0

Тот же продукт

oracle: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2021-35587Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: OpenSSO Agent).KEV
98Срочно
CVE-2018-2879Vulnerability in the Oracle Access Manager component of Oracle Fusion Middleware (subcomponent: Authentication Engine).
42В плане
CVE-2026-87337Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine).
40В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2018-258718 апр. 2018 г. · Vulnerability in the Oracle Access Manager component of Oracle Fusion Middleware (subcomponent: Web Server Plugin).
27Наблюдать
← РаньшеCVE-2018-273918 апр. 2018 г. · Vulnerability in the Oracle Access Manager component of Oracle Fusion Middleware (subcomponent: Web Server Plugin).
38Наблюдать
Позже →CVE-2020-274015 апр. 2020 г. · Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine).
18Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Запись Exploit-DB ×2
Репозиторий PoC на GitHub ×5

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	репозиториев: 5	2020-03-06 → 2021-11-15
Запись Exploit-DB	webapps	2020-04-14
Запись Exploit-DB	remote	2020-05-22
Модуль Metasploit	exploit/multi/misc/weblogic_deserialize_badattrvalWebLogic Server Deserialization RCE - BadAttributeValueExpExceptionexploit	2020-01-15

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Metasploit15 янв. 2020 г.-1 дн.
Публикация15 янв. 2020 г.
Первый PoC6 мар. 2020 г.+50 дн.
CISA KEV3 нояб. 2021 г.+657 дн.
Сегодня14 нояб. 2026 г.+2494 дн.

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-502 · Deserialization of Untrusted Data

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Первопричина

Данные, полученные по сети, десериализуются в собственный объектный формат языка без проверки источника. Во время десериализации могут быть задействованы пути выполнения кода внутри объекта.

Ошибка в коде

Весь класс CWE-502

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

python

1payload = sock.recv(65536)
2job = pickle.loads(payload)

Исправленный код

python

1payload = sock.recv(65536)
2if not hmac.compare_digest(sign(payload), header_sig):
3    raise PermissionError("недействительная подпись")
4job = JobSchema.validate(json.loads(payload))