CVE-2023-21839

Falha no componente Core do Oracle WebLogic Server que permite a um atacante não autenticado, com acesso de rede aos protocolos T3 ou IIOP, comprometer o servidor. A Oracle classifica o impacto como restrito à confidencialidade (CVSS C:H/I:N/A:N, nota 7.5), mas pesquisadores e o módulo Metasploit público demonstram exploração que resulta em execução remota de código, não apenas leitura de dados — a nota CVSS oficial subestima o risco real. Está no catálogo KEV da CISA com exploração confirmada em campo.

A Oracle descreve a falha apenas como pertencente ao componente 'Core' do WebLogic Server, sem detalhar a causa raiz no advisory público — prática recorrente da Oracle para vulnerabilidades em T3/IIOP, que historicamente envolvem o mecanismo de RMI (Remote Method Invocation) usado por esses protocolos para serialização e resolução de objetos remotos.

O padrão de exploração documentado por pesquisadores para essa família de CVEs no WebLogic (T3/IIOP) explora o processo de deserialização de objetos Java recebidos via esses protocolos antes de qualquer autenticação, permitindo que o atacante force o servidor a resolver referências remotas (JNDI/RMI) apontando para infraestrutura controlada por ele. O resultado prático demonstrado em PoCs é execução de código no contexto do processo WebLogic, não apenas exposição de dados — divergindo do que o vetor CVSS oficial (C:H/I:N/A:N) sugere.

Não há, nas fontes públicas consultadas, um write-up técnico completo e verificado do fornecedor detalhando a classe ou método vulnerável específico. A ausência de detalhe é deliberada por parte da Oracle, que historicamente evita publicar mecanismos exatos de falhas em T3/IIOP justamente por serem cadeias de exploração reaproveitáveis (o mesmo protocolo já foi vetor de CVE-2020-14882, CVE-2020-14883, CVE-2019-2725 e outras).

Pré-requisito real: acesso de rede à porta onde o WebLogic expõe os protocolos T3 e/ou IIOP (por padrão associada à porta de administração/cluster, tipicamente 7001, mas configurável). Não é necessária autenticação nem interação do usuário (PR:N, UI:N) — é isso que torna a falha crítica em ambientes que expõem essas portas à internet ou a redes não segmentadas.

A exploração documentada publicamente segue o padrão já conhecido de ataques a WebLogic via T3/IIOP: o atacante envia um payload serializado malformado ao endpoint do protocolo, que aciona resolução de objeto remoto apontando para um listener LDAP/RMI controlado pelo atacante, entregando uma classe que executa código no contexto do processo do servidor. Existe PoC pública, template Nuclei e módulo Metasploit — isso baixa a barreira técnica para exploração em massa, e o EPSS próximo de 1.0 reflete essa realidade.

A CISA confirma exploração ativa em campo (KEV, adicionada em 01/05/2023, prazo de correção 22/05/2023), mas não classifica a falha como usada em campanhas de ransomware conhecidas ('Unknown'). Servidores WebLogic expostos sem filtro de rede nessas portas são o cenário de risco real; ambientes que bloqueiam T3/IIOP na borda ou os restringem a hosts de confiança reduzem a superfície a praticamente zero, independente da versão instalada.

A correção oficial está no Critical Patch Update (CPU) de janeiro de 2023 da Oracle (cpujan2023). O WebLogic usa patches acumulativos (PSU) aplicados sobre a mesma linha de versão em vez de releases numeradas novas, então não existe uma 'versão corrigida X.Y.Z' distinta — a orientação correta é aplicar o patch da CPU de janeiro/2023 (ou CPU posterior que o incorpore) sobre a instalação existente 12.2.1.3.0, 12.2.1.4.0 ou 14.1.1.0.0, via Oracle Support.

Se a aplicação imediata do patch não for viável, o controle compensatório real é bloquear acesso externo às portas que atendem T3 e IIOP, ou desabilitar esses protocolos no console de administração do WebLogic quando não forem usados operacionalmente (muitos ambientes não precisam de T3 exposto fora da rede interna de cluster). Restringir por firewall/ACL a hosts de confiança é eficaz porque a pré-condição de exploração é justamente acesso de rede ao protocolo.

Não existe mitigação eficaz apenas via WAF de camada HTTP, porque T3 e IIOP não são protocolos HTTP — regras de WAF web não enxergam esse tráfego. Ocultar a versão do banner do console de admin também não mitiga nada, é falha comum de considerar isso suficiente.

Sinal de tentativa de exploração: conexões na porta de administração/cluster do WebLogic (tipicamente 7001, mas variável por ambiente) originadas de IPs externos ou não pertencentes à topologia de cluster esperada, especialmente com payloads binários característicos de serialização Java (cabeçalho de stream RMI/IIOP) fora do padrão de tráfego interno normal do servidor.

Não há assinatura de rede oficial publicada pela Oracle ou pela CISA para esse CVE especificamente; detecção depende de monitorar conexões de saída anômalas do processo WebLogic para hosts externos (indício de callback LDAP/RMI durante exploração de deserialização) e de logs de erro do servidor relacionados a falhas de deserialização ou exceções em classes de RMI/JNDI no horário da tentativa.