CVE-2017-3506

Falha de deserialização insegura no componente WLS Web Services (Web Services Atomic Transactions, pacote wls-wsat) do Oracle WebLogic Server, que permite a um atacante não autenticado enviar um documento XML malicioso via HTTP e obter execução de comandos no sistema operacional do servidor. Está no catálogo KEV da CISA com exploração confirmada e histórico extenso de uso em campanhas de cryptomining desde 2017-2018, apesar do CVSS classificar a exploração como "difícil" (AC:H).

A falha reside no processamento de cabeçalhos de contexto de trabalho (WorkContext) usados pelo subsistema WLS Web Services Atomic Transactions, exposto por padrão na aplicação wls-wsat.war em endpoints como /wls-wsat/CoordinatorPortType e variantes (CoordinatorPortType11, ParticipantPortType, RegistrationPortTypeRPC, RegistrationRequesterPortType). O servidor desserializa dados XML recebidos no corpo da requisição SOAP usando XMLDecoder, uma classe da própria plataforma Java capaz de instanciar objetos arbitrários e invocar métodos a partir de tags XML controladas pelo remetente.

Como o XMLDecoder não restringe quais classes podem ser instanciadas nem quais métodos podem ser chamados, um atacante que controle o corpo XML consegue montar uma sequência de instâncias (por exemplo, encadeando construtores e chamadas de método de classes utilitárias do próprio JDK) que resulta na execução de um processo do sistema operacional — daí a classificação da CISA como CWE-78 (OS Command Injection), embora o vetor primário seja deserialização insegura (CWE-502) e não injeção de comando em um campo de entrada tradicional.

O CVSS classifica a complexidade de ataque como alta (AC:H), o que reflete a necessidade de conhecer a estrutura interna do protocolo SOAP e montar corretamente o payload de deserialização — não há um único campo de formulário vulnerável, é preciso reproduzir a gramática XML que o XMLDecoder aceita. Não há exigência de autenticação nem de configuração não padrão: a aplicação wls-wsat vem habilitada por padrão nas instalações afetadas do WebLogic.

É importante notar que o patch de abril de 2017 (que corrigiu esta CVE) tratou apenas parte da superfície de ataque. Pesquisadores demonstraram meses depois um bypass do filtro aplicado, catalogado separadamente como CVE-2017-10271 e corrigido no Critical Patch Update de outubro de 2017 — ambas as CVEs compartilham o mesmo componente e mecanismo de exploração.

O vetor é uma requisição HTTP POST não autenticada para um dos endpoints do wls-wsat, com Content-Type text/xml e um corpo contendo tags de WorkContext manipuladas para acionar o XMLDecoder. Basta acesso de rede à porta HTTP/HTTPS do WebLogic (tipicamente 7001) onde o serviço estiver exposto; não há necessidade de credenciais, interação do usuário ou configuração especial além de o serviço wls-wsat estar implantado, o que é o padrão de fábrica.

Após exploração bem-sucedida, o atacante executa comandos com os privilégios do processo WebLogic, o que na prática costuma significar controle total do host (leitura/gravação de arquivos, pivotamento na rede interna, exfiltração de dados de aplicações acessíveis pelo servidor). PoCs públicas para esta CVE circulam desde 2017 e templates de scanners (incluindo Nuclei) automatizam a detecção do endpoint vulnerável.

A CISA confirma exploração ativa no mundo real (entrada no catálogo KEV). Historicamente essa família de vulnerabilidades no wls-wsat (CVE-2017-3506 e a irmã CVE-2017-10271) foi amplamente usada em campanhas massivas de varredura da internet para instalar mineradores de criptomoeda em servidores WebLogic expostos, e continua sendo testada por scanners automatizados anos depois, o que motivou sua inclusão tardia no KEV em 2024.

A correção oficial veio no Critical Patch Update (CPU) de abril de 2017 da Oracle, que corrige as versões 10.3.6.0, 12.1.3.0, 12.2.1.0, 12.2.1.1 e 12.2.1.2. Como o patch de abril foi posteriormente contornado (bypass documentado como CVE-2017-10271), aplicar apenas essa correção não elimina todo o risco da família de vulnerabilidades no wls-wsat: é necessário também aplicar o CPU de outubro de 2017 ou patches posteriores que fecham o bypass.

Se a aplicação do patch não for imediatamente viável, o paliativo real é remover ou desabilitar a aplicação Web Services Atomic Transactions (wls-wsat.war) do domínio WebLogic, já que ela não é necessária na maioria dos deployments que não usam transações atômicas distribuídas entre serviços web. Alternativamente, bloquear o acesso aos caminhos /wls-wsat/* na camada de proxy reverso ou balanceador antes que a requisição chegue ao WebLogic reduz a exposição, mas não corrige a causa raiz caso o endpoint seja acessível por outras rotas internas.

Não funciona como mitigação apenas restringir métodos HTTP ou aplicar autenticação genérica na frente do WebLogic sem tratar especificamente os caminhos do wls-wsat, pois o endpoint frequentemente responde independentemente de outras camadas de controle de acesso configuradas para a aplicação principal. Sistemas ainda em versões não corrigidas expostos à internet devem ser considerados comprometidos até prova em contrário, dado o histórico de exploração massiva desde 2017.

Procurar por requisições HTTP POST direcionadas aos caminhos /wls-wsat/CoordinatorPortType, /wls-wsat/CoordinatorPortType11, /wls-wsat/ParticipantPortType, /wls-wsat/RegistrationPortTypeRPC ou /wls-wsat/RegistrationRequesterPortType, com Content-Type text/xml e corpo contendo tags de WorkContext ou estruturas XMLDecoder (tags como , , , referências a java.lang.ProcessBuilder ou java.lang.Runtime). Presença desses padrões em logs de acesso ou tráfego capturado indica tentativa de exploração, ainda que não confirme sucesso — para confirmar impacto real é preciso correlacionar com criação inesperada de processos no host WebLogic.