CVE-2020-14883

Falha no componente Console do Oracle WebLogic Server que, combinada com o bypass de autenticação CVE-2020-14882, permite execução remota de código completa via HTTP. Isoladamente exige privilégio alto (PR:H) — mas na prática é encadeada com o bypass para virar RCE não autenticado, o que explica sua presença no catálogo KEV da CISA e a exploração massiva observada desde outubro de 2020.

A Oracle descreve a falha apenas como 'vulnerabilidade não especificada' no componente Console, sem detalhar a causa raiz — postura padrão da empresa em advisories de segurança. Pesquisadores que analisaram o patch e reproduziram o ataque identificaram que o console processa parâmetros de navegação (como 'handle' em requisições ao console.portal) de forma que permite ao atacante instanciar classes Java arbitrárias no contexto do servidor, incluindo classes que dão acesso a um shell (padrão semelhante ao abuso de com.tangosol.coherence.mvel2.sh.ShellSession, usado em cadeias de exploração anteriores do WebLogic).

O vetor CVSS oficial (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) classifica a falha como exigindo privilégios altos — ou seja, um atacante já autenticado no console administrativo. Isso, isoladamente, é um cenário raro em produção, já que o console não deveria estar exposto à internet e credenciais administrativas não deveriam estar disponíveis a terceiros.

O que torna a CVE-2020-14883 crítica na prática é o encadeamento com a CVE-2020-14882, um bypass de autenticação no mesmo componente Console que permite contornar o controle de acesso via manipulação de path (URL encoding) em requisições ao console. Ao encadear as duas falhas, um atacante sem qualquer credencial consegue primeiro burlar a autenticação e depois acionar a lógica vulnerável da 14883, resultando em execução de código arbitrário no servidor sem qualquer pré-requisito de acesso privilegiado real.

O vetor de ataque é HTTP direto contra o console administrativo do WebLogic (porta padrão 7001, mas variável). A exploração isolada da CVE-2020-14883 pressupõe uma sessão autenticada com privilégio administrativo no console — algo que só existe se credenciais fracas/padrão estiverem em uso ou já tiverem sido comprometidas. Na prática documentada por pesquisadores e observada em campanhas reais, ela é usada em conjunto com a CVE-2020-14882: a primeira requisição contorna a autenticação manipulando o caminho da URL, e a segunda, contra o mesmo endpoint do console, aciona a instanciação de classe arbitrária que resulta em execução remota de código.

A CISA lista a CVE-2020-14883 no catálogo KEV com confirmação de exploração ativa, adicionada em novembro de 2021 com prazo de correção em maio de 2022 — um intervalo longo entre a divulgação (out/2020) e a inclusão no KEV, típico de vulnerabilidades que continuam sendo exploradas por muito tempo após o patch por conta de ambientes desatualizados. Existem módulo Metasploit e templates Nuclei públicos, e PoCs completas (incluindo a cadeia com CVE-2020-14882) circulam amplamente, o que baixa a barreira de exploração para qualquer atacante com acesso de rede ao console — sem exigir sofisticação técnica.

O resultado de um ataque bem-sucedido é execução de código no contexto do processo WebLogic, geralmente levando a webshell, backdoor persistente, mineração de criptomoeda ou pivotamento lateral na rede — padrão observado em campanhas de exploração massiva contra instâncias WebLogic expostas na internet.

A correção definitiva é aplicar o Critical Patch Update (CPU) de outubro de 2020 da Oracle, que cobre as versões afetadas: 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 e 14.1.1.0.0. A Oracle não publica número de build específico de correção na descrição consultada; o caminho oficial é aplicar o patch do CPU indicado no advisory (cpuoct2020) via My Oracle Support, já que patches do WebLogic são distribuídos como PSU/patches numerados dentro do portal, não como versões de release público.

Se a atualização imediata não for viável, o paliativo mais eficaz é remover a exposição do console administrativo à internet — restringir acesso à porta do console (tipicamente 7001) a redes internas e VPN, via firewall ou controle de rede, já que a exploração depende de acesso HTTP direto ao endpoint /console. Isso não corrige a falha, mas elimina o vetor de rede que a exploração massiva observada utiliza. Desabilitar o console administrativo em ambientes que não precisam dele é outra opção real quando aplicável.

Não funciona como mitigação: trocar apenas a senha do administrador ou aplicar apenas o patch da CVE-2020-14882 sem o patch da 14883 — como a exploração encadeia as duas falhas, corrigir só uma quebra a cadeia de exploração pública conhecida, mas não elimina o risco caso surjam variantes que explorem a 14883 por outro caminho de autenticação já obtido (ex: credenciais vazadas).

Como a exploração real depende do encadeamento com CVE-2020-14882, os sinais mais confiáveis em log de acesso HTTP/WebLogic são requisições ao console com paths contendo sequências de encoding duplo ou traversal (%252e%252e%252f) direcionadas a endpoints como console.portal ou console.css, seguidas de requisições subsequentes com parâmetros anômalos de 'handle' — padrão característico das PoCs públicas e do módulo Metasploit. Presença de arquivos JSP/webshell criados recentemente em diretórios do WebLogic, processos filhos inesperados gerados pelo processo Java do WebLogic (cmd.exe, powershell, bash) e conexões de saída não usuais do host também são indicadores fortes de comprometimento via essa cadeia.

Não há assinatura única e confiável para a CVE-2020-14883 isolada, já que a Oracle nunca detalhou o mecanismo exato — a maior parte da detecção prática do mundo real é baseada em regras Nuclei/Metasploit publicadas que testam a cadeia completa com a CVE-2020-14882, não a 14883 isoladamente.