CVE-2024-21182

Falha não especificada no componente Core do Oracle WebLogic Server, explorável sem autenticação via os protocolos T3 e IIOP, que expõe dados a acesso não autorizado. Está no catálogo KEV da CISA — ou seja, há exploração confirmada em ambiente real — apesar do CVSS 7.5 refletir só impacto de confidencialidade, sem afetar integridade ou disponibilidade.

A Oracle classifica a falha como 'unspecified vulnerability' no componente Core do WebLogic Server, política padrão da empresa que evita detalhar a causa raiz nos boletins CPU (Critical Patch Update). Não há CWE atribuído nas fontes consultadas nem descrição do ponto exato no código onde a falha ocorre.

O vetor de ataque é rede via T3 (protocolo proprietário Oracle para RMI, usado na comunicação entre WebLogic e clientes/servidores) e IIOP (CORBA). Historicamente, vulnerabilidades WebLogic reportadas nesses mesmos protocolos — em CPUs anteriores — envolveram deserialização insegura de objetos Java recebidos por essas interfaces, mas a Oracle não confirma esse mecanismo especificamente para o CVE-2024-21182. Não generalize esse histórico como certeza técnica desta CVE específica: é um padrão observado em falhas correlatas do mesmo componente, não uma confirmação.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) indica: acesso remoto, baixa complexidade, sem privilégios, sem interação do usuário, impacto alto apenas em confidencialidade. Isso sugere leitura ou exfiltração de dados acessíveis ao servidor, sem indicação de que o atacante ganhe execução de código arbitrário ou escrita — embora vulnerabilidades WebLogic no protocolo T3 frequentemente evoluam para RCE quando encadeadas com outras falhas de deserialização, algo que a métrica isolada desta CVE não captura por si só.

Pré-requisito real: acesso de rede às portas onde WebLogic expõe T3 ou IIOP (por padrão a porta administrativa/listener do WebLogic, comumente 7001, mas configurável). Não exige autenticação nem interação do usuário — a única barreira prática é o atacante conseguir alcançar a porta na rede, o que em ambientes que expõem WebLogic diretamente à internet (comum em integrações legadas) é trivial.

A CISA lista o CVE-2024-21182 no catálogo KEV, confirmando exploração ativa observada, e há PoC pública circulando. A complexidade de exploração é classificada como baixa pela própria Oracle ('Easily exploitable'). O resultado, segundo o fornecedor, é acesso não autorizado a dados críticos ou acesso completo aos dados acessíveis pelo servidor WebLogic — não necessariamente controle total do sistema operacional subjacente, dado que o CVSS não marca impacto em integridade ou disponibilidade.

Ambientes onde os protocolos T3/T3s e IIOP estão desabilitados ou filtrados na borda de rede não são explicáveis por este vetor específico — essa é a condição que separa exposição real de exposição teórica.

Aplicar o Critical Patch Update de julho de 2024 (CPUJul2024) da Oracle para WebLogic Server é a correção oficial. As fontes consultadas não trazem o número exato de patch/build corrigido para cada branch (12.2.1.4.0 e 14.1.1.0.0); consulte o advisory oficial da Oracle para obter o identificador de patch específico da sua versão antes de aplicar.

Como paliativo quando o patch não pode ser aplicado imediatamente: bloquear ou restringir acesso de rede às portas T3/T3s e IIOP do WebLogic apenas a hosts confiáveis (firewall, segmentação), e desabilitar os protocolos T3/IIOP no console de administração quando não forem usados pela aplicação — a Oracle historicamente recomenda esse controle compensatório para toda a família de vulnerabilidades nesses protocolos. Isso reduz a superfície de ataque mas não corrige a falha subjacente; não substitui o patch.

Não funciona como mitigação: apenas colocar um proxy HTTP reverso na frente do WebLogic, já que T3 e IIOP não são HTTP e normalmente não passam por esse tipo de proxy — mas se a porta administrativa estiver acessível diretamente, o filtro é inútil. Verifique que a exposição real da porta corresponde ao que você pensa estar protegido.

Não há assinatura ou IOC público confirmado nas fontes consultadas. Como indício geral, monitore conexões de rede não esperadas nas portas onde o WebLogic expõe T3/T3s e IIOP, especialmente originadas de IPs externos ou não pertencentes à topologia interna esperada da aplicação, e tentativas de handshake nesses protocolos vindas de scanners ou ferramentas de exploração conhecidas para a família de vulnerabilidades WebLogic. A ausência de sinal específico documentado é, em si, informação relevante: presença no catálogo KEV confirma exploração real, mas sem detalhamento técnico publicado do padrão de ataque usado.