O que aconteceu?
Uma vulnerabilidade de segurança no Oracle WebLogic Server está atualmente sendo explorada de forma ativa. A agência norte-americana de segurança cibernética CISA alerta sobre a falha e a incluiu em seu catálogo "Known Exploited Vulnerabilities". Os órgãos federais dos EUA têm até o dia 4 de junho para corrigir a falha. A vulnerabilidade já é conhecida desde meados de 2024, e a Oracle disponibilizou uma atualização de segurança por meio do Critical Patch Update de julho de 2024.
Os detalhes
O componente afetado é o "Core" do Oracle Fusion Middleware. Invasores não autenticados podem acessar servidores WebLogic vulneráveis pela rede, utilizando os protocolos proprietários T3 e IIOP, e comprometê-los. A Oracle não fornece mais detalhes sobre os mecanismos exatos de ataque.
Ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos ou até mesmo em acesso completo a todos os dados disponíveis no servidor WebLogic. A vulnerabilidade está registrada como CVE-2024-21182 e classificada como "alta", com uma pontuação CVSS de 7.5.
As versões de software consideradas vulneráveis são o Oracle WebLogic Server 12.2.1.4.0 e 14.1.1.0.0. É possível que outras versões, já sem suporte, também sejam afetadas. Como de costume, a CISA não fornece detalhes sobre o escopo ou a natureza dos ataques em curso, de modo que também não há indicadores de comprometimento (IOC) disponíveis para que os responsáveis de TI possam realizar buscas direcionadas.
Contextualização
A exploração ativa de uma vulnerabilidade já com um ano de existência revela um padrão recorrente: embora os patches estejam disponíveis, na prática eles aparentemente não são aplicados de forma abrangente. Componentes de middleware, como o Oracle WebLogic Server, costumam estar profundamente integrados às infraestruturas corporativas e, muitas vezes, permanecem sem atualização por anos, já que alterações em sistemas produtivos são consideradas arriscadas.
Este caso se soma a uma recente sequência de relatos sobre vulnerabilidades sob ataque. Já na segunda-feira desta semana, tornou-se conhecido que uma falha no sistema operacional de rede PAN-OS, da Palo Alto Networks, também está sendo ativamente explorada — nesse caso, os invasores conseguem contornar medidas de segurança, apenas cerca de duas semanas após a divulgação da falha e o lançamento do patch pelo fabricante. Esse desenvolvimento evidencia que os invasores estão reagindo cada vez mais rápido assim que vulnerabilidades se tornam públicas ou patches são disponibilizados.
Dicas práticas
- Os responsáveis de TI devem verificar imediatamente se, em sua topologia de rede, são utilizados servidores Oracle WebLogic nas versões 12.2.1.4.0 ou 14.1.1.0.0.
- O Critical Patch Update da Oracle de julho de 2024 deve ser aplicado imediatamente, caso ainda não tenha sido.
- Versões mais antigas do WebLogic, sem suporte, também devem ser verificadas e, se necessário, removidas do ambiente produtivo ou isoladas.
- O acesso por meio dos protocolos T3 e IIOP deve ser restrito a segmentos de rede confiáveis, sempre que operacionalmente viável.
- De modo geral, vale o princípio: o software utilizado deve ser mantido continuamente atualizado e protegido, uma vez que os relatos de vulnerabilidades sob ataque ativo têm se tornado cada vez mais frequentes.
Perspectivas
Como a CISA não fornece informações detalhadas sobre os ataques, por ora resta aos responsáveis de TI apenas o caminho proativo de gestão de patches e reforço da segurança dos sistemas. Diante do prazo até 4 de junho estabelecido para os órgãos federais dos EUA, é possível supor que a exploração da falha continue aumentando, caso não seja corrigida em tempo hábil. Embora empresas fora da administração federal dos EUA não estejam sujeitas a esse prazo, devem levar a gravidade do alerta igualmente a sério, para não se tornarem alvo de invasores oportunistas que exploram sistematicamente vulnerabilidades conhecidas e não corrigidas.
