CVE-2022-21445

Falha crítica de desserialização insegura (CWE-502) na biblioteca ADF Faces, componente do Oracle Application Development Framework distribuído junto ao Oracle JDeveloper. Permite execução remota de código sem autenticação, via HTTP, sobre qualquer aplicação Java que empacote essa biblioteca. Apesar de ter sido divulgada em abril de 2022, só entrou no catálogo KEV da CISA em setembro de 2024, indicando exploração ativa detectada tardiamente e uma janela longa de exposição em ambientes que nunca aplicaram o patch.

O problema está na forma como o ADF Faces processa dados recebidos via requisições HTTP e os desserializa em objetos Java sem validar sua origem ou tipo. Isso é um caso clássico de CWE-502 (Deserialization of Untrusted Data): a aplicação aceita um stream de bytes serializado controlado pelo cliente e o reconstrói em memória, executando qualquer lógica embutida nos métodos de callback de desserialização (readObject e afins) antes de qualquer verificação de autenticação.

Como o ADF Faces é uma camada de UI/renderização que roda dentro de aplicações Fusion Middleware, a superfície de exposição é o próprio servidor de aplicação — não é preciso ter conta de usuário nem privilégio algum. O atacante controla o conteúdo do objeto serializado enviado, e a exploração bem-sucedida depende de haver, no classpath da aplicação, alguma cadeia de classes ('gadgets') que permita transformar a desserialização em execução de código arbitrário — padrão comum em vulnerabilidades de desserialização Java, embora as fontes consultadas não detalhem qual cadeia específica foi usada nesta CVE.

A Oracle não publicou detalhes técnicos profundos no advisory (prática usual da empresa), então o mecanismo exato do endpoint/parâmetro vulnerável não está documentado nas fontes oficiais lidas para esta página.

O vetor é rede/HTTP direto: o atacante envia uma requisição para uma aplicação Fusion Middleware que usa ADF Faces, carregando um objeto serializado malicioso. Não há pré-requisito de autenticação, interação do usuário, nem configuração não padrão conhecida — é exatamente o cenário que o CVSS 9.8 (AV:N/AC:L/PR:N/UI:N) descreve, e por isso a Oracle a classificou como 'facilmente explorável'.

O resultado de um ataque bem-sucedido é execução de código no contexto do processo da aplicação, ou seja, takeover completo do componente ADF (confidencialidade, integridade e disponibilidade totalmente comprometidas, conforme o vetor CVSS). Não há necessidade de credenciais válidas nem de conhecimento prévio sobre a instalação-alvo além de identificar que ela usa ADF Faces.

A CISA confirma exploração ativa ao incluir a falha no catálogo KEV (adicionada em 18/09/2024, com prazo de correção até 09/10/2024), e há PoC pública disponível — o que reduz a barreira técnica para replicar o ataque. O intervalo de mais de dois anos entre a divulgação original (abril/2022) e a entrada no KEV sugere campanhas de exploração descobertas tardiamente, prováveis contra instâncias legadas nunca corrigidas.

A correção definitiva é aplicar o patch do Oracle Critical Patch Update de abril de 2022 (CPU Apr2022) para as versões afetadas do Oracle Fusion Middleware/ADF. As fontes disponíveis não especificam o número exato da versão pós-patch para cada branch — a Oracle direciona os administradores ao Fusion Middleware Patch Advisor para identificar o patch correspondente à instalação específica, e essa consulta deve ser feita diretamente para não aplicar patch incorreto.

Se a atualização não for possível de imediato, a própria CISA, no KEV, recomenda 'aplicar mitigações conforme instrução do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível' — o que, na prática, sinaliza que não existe um paliativo leve e amplamente reconhecido (como uma flag de configuração) para esta falha; a exposição do componente ADF Faces à rede é, por si, o risco. Como controle compensatório genérico, restringir o acesso de rede ao endpoint da aplicação (segmentação, firewall, WAF com regras para payloads de desserialização Java) reduz a superfície, mas não elimina a vulnerabilidade subjacente.

Não existe mitigação sólida por 'ofuscar' ou remover apenas classes específicas do classpath sem testes extensivos — reduzir gadgets de desserialização manualmente é frágil e não substitui o patch oficial.

Não há assinatura de detecção oficial publicada nas fontes consultadas. Como indicador genérico de tentativa de exploração de desserialização Java via HTTP, vale monitorar requisições com corpo contendo os magic bytes de stream serializado Java (0xAC 0xED) endereçadas a endpoints de aplicações ADF Faces, bem como picos de erros de desserialização ou execução de processos filhos inesperados a partir do processo do servidor de aplicação (WebLogic/Fusion Middleware). Ausência de assinatura confiável e específica é, em si, uma informação relevante: times de detecção devem tratar qualquer tráfego anômalo dirigido a instâncias ADF não corrigidas como suspeito por padrão.