CVE-2020-14864

Falha de path traversal (CWE-22) no Oracle Business Intelligence Enterprise Edition, no parâmetro FilePath da função getPreviewImage, permite que um atacante não autenticado leia arquivos arbitrários do sistema via HTTP. Está no catálogo KEV da CISA com exploração confirmada e PoC pública, o que a torna mais perigosa na prática do que o CVSS 7.5 sozinho sugere — é trivial de disparar e não exige nenhuma credencial.

A vulnerabilidade fica no componente de instalação do Oracle BI EE, especificamente na função getPreviewImage, usada para gerar/exibir imagens de preview dentro da interface de catálogo/analytics. O parâmetro FilePath dessa função é concatenado à rotina de acesso a arquivo no servidor sem sanitização adequada de sequências de travessia de diretório (ex.: '../'), permitindo que o valor informado pelo cliente escape do diretório esperado de imagens e aponte para qualquer arquivo legível pelo processo do servidor de aplicação.

O atacante controla integralmente o valor de FilePath na requisição HTTP. Como a função é acessível sem autenticação (faz parte do fluxo de instalação/preview exposto publicamente), não há verificação de sessão nem de papel de usuário antes de processar o caminho solicitado, o que caracteriza o vetor AV:N/AC:L/PR:N/UI:N do CVSS.

O impacto é só de confidencialidade (C:H/I:N/A:N): não há escrita nem execução, apenas leitura arbitrária de arquivo. Isso já é suficiente para expor arquivos de configuração, credenciais de conexão a banco de dados, chaves ou outros artefatos sensíveis do servidor Oracle BI, dependendo do que estiver acessível ao usuário do processo.

O vetor é uma requisição HTTP simples direcionada ao endpoint que expõe getPreviewImage, com o parâmetro FilePath manipulado com sequências de travessia de diretório para apontar a arquivos fora do diretório de imagens. Não é necessária autenticação, interação do usuário nem configuração não padrão — a exposição da interface web do BI EE na rede já é pré-requisito suficiente. A complexidade de ataque é baixa (AC:L), e a existência de PoC pública e template Nuclei reduz o esforço de exploração a praticamente zero para quem já identificou o endpoint.

O resultado prático é a leitura de qualquer arquivo do sistema de arquivos acessível ao processo do servidor de aplicação que hospeda o BI EE, o que pode incluir arquivos de configuração com credenciais, permitindo movimento lateral ou escalonamento posterior mesmo sem impacto direto de integridade ou disponibilidade nesta CVE.

A presença no catálogo KEV da CISA confirma exploração ativa em ambiente real, não apenas teórica. O prazo de correção definido pela CISA para agências federais dos EUA foi 2022-07-18, o que indica que a exploração continuou relevante bem depois da divulgação original em outubro de 2020.

A correção oficial foi publicada pela Oracle no Critical Patch Update de outubro de 2020 (cpuoct2020). Aplicar o patch correspondente à linha de release em uso (5.5.0.0.0, 12.2.1.3.0 ou 12.2.1.4.0) é a mitigação real — a Oracle distribui essas correções como patches dentro do CPU, não como novos números de versão publicamente listados nas fontes disponíveis, então valide o patch exato aplicável à sua instalação diretamente no advisory da Oracle e no My Oracle Support.

Se a atualização não for viável de imediato, restrinja o acesso de rede à interface do BI EE (evitando exposição direta à internet) e coloque um WAF ou proxy reverso com regra bloqueando sequências de travessia de diretório (ex.: '../', variantes codificadas como '%2e%2e%2f') nos parâmetros de requisições ao endpoint de preview. Isso reduz a superfície de exploração mas não elimina a falha subjacente — é paliativo, não substitui o patch.

Não existe mitigação eficaz baseada apenas em autenticação de rede geral (VPN, por exemplo) se o próprio ambiente interno já tiver acesso amplo ao servidor BI, já que a falha não exige credencial alguma dentro do perímetro exposto.

Procure em logs de acesso do servidor web/WebLogic requisições ao endpoint que invoca getPreviewImage contendo sequências de travessia de diretório no parâmetro FilePath — tanto em texto puro ('../', '..\\') quanto codificadas em URL ('%2e%2e%2f', '..%252f') ou variantes com múltiplos encodings. Requisições retornando conteúdo de arquivos de sistema (em vez de imagens) em resposta a esse endpoint são forte indício de exploração bem-sucedida.

Como existe template Nuclei público, também vale correlacionar assinaturas de User-Agent e padrões de requisição automatizada característicos de scanners baseados nesse template. Na ausência de logging detalhado de parâmetros HTTP, não há sinal confiável — ambientes sem log de query string completo simplesmente não terão visibilidade retroativa sobre tentativas passadas.