CVE-2024-21287

Falha de autorização incorreta (CWE-863) no componente Process Extension do SDK do Oracle Agile PLM Framework, versão 9.3.6, que permite a um atacante não autenticado, via HTTP, obter divulgação não autorizada de arquivos. O CVSS de 7.5 reflete impacto restrito à confidencialidade (sem integridade ou disponibilidade afetadas), mas a presença no catálogo KEV da CISA confirma exploração ativa in the wild — o EPSS baixo (0.015) não capturou esse risco real.

A vulnerabilidade é classificada como CWE-863 (Incorrect Authorization). O componente Process Extension do SDK do Agile PLM Framework processa requisições HTTP relacionadas a extensões de processo/arquivo sem validar corretamente as permissões de quem faz a chamada, permitindo que um cliente sem qualquer credencial acesse funcionalidade que deveria estar restrita a usuários autenticados.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica que o atacante não precisa de acesso privilegiado, configuração especial nem interação do usuário — apenas alcance de rede até a interface HTTP exposta pelo Agile PLM Framework. O impacto declarado (C:H/I:N/A:N) confirma que a falha resulta em leitura indevida de dados, não em modificação ou indisponibilidade: a CISA descreve o resultado da exploração como 'unauthenticated file disclosure'.

As fontes disponíveis não detalham o parâmetro exato manipulado na requisição nem o caminho HTTP específico do componente afetado — Oracle não publicou esse nível de detalhe técnico no alerta público, e nenhuma análise técnica independente foi localizada nas fontes lidas.

O vetor é rede/HTTP direto, sem necessidade de autenticação prévia nem interação de usuário, o que torna a barreira de exploração baixa para quem já tem alcance à interface do Agile PLM Framework exposta. Isso normalmente significa instâncias acessíveis pela internet ou por segmentos de rede corporativa menos segmentados — um pré-requisito relevante que a nota do CVSS já embute em AV:N, mas que a manchete 'CVSS 7.5' por si não deixa evidente sobre exposição real.

A CISA confirma exploração ativa ao incluir o CVE no catálogo KEV (adicionado em 21/11/2024, prazo de mitigação 12/12/2024), mas classifica como 'Unknown' o uso em campanhas de ransomware — ou seja, há exploração confirmada, mas não necessariamente ligada a esse tipo de operação, segundo o registro oficial da CISA.

Não há, nas fontes consultadas, detalhamento público de proof-of-concept, payload ou writeup técnico de terceiros descrevendo o passo a passo da exploração. O resultado prático reportado é divulgação de arquivos armazenados pela aplicação PLM, o que em ambientes de gestão de ciclo de vida de produto pode incluir especificações técnicas e documentação de propriedade intelectual — mas essa extensão de impacto é inferência do contexto de uso do produto, não afirmação do fornecedor ou da CISA.

Oracle publicou correção via alerta de segurança dedicado (link nas referências). As fontes lidas não especificam o número exato da versão ou patch que corrige a falha além de confirmar que 9.3.6 é a versão suportada afetada — para aplicar a correção, é necessário consultar diretamente o alerta oficial da Oracle e o Critical Patch Update correspondente, já que esse dado não pôde ser verificado aqui sem risco de erro.

Se a atualização não puder ser aplicada de imediato, a própria CISA recomenda, na ausência de mitigação disponível, descontinuar o uso do produto ou restringir sua exposição — na prática, isso significa remover ou bloquear acesso HTTP não autenticado ao componente Process Extension do SDK a partir de redes não confiáveis, via segmentação de rede ou controle de acesso na borda, até a aplicação do patch.

Não há mitigação de configuração documentada nas fontes disponíveis (como desabilitar um módulo específico) além do patch do fornecedor — qualquer controle compensatório aqui é redução de exposição de rede, não correção da causa raiz.

Procurar em logs HTTP do servidor Agile PLM Framework requisições não autenticadas direcionadas a endpoints do componente Process Extension do SDK, especialmente parâmetros que referenciem nomes de arquivo ou caminhos fora do padrão esperado. As fontes consultadas não fornecem assinatura, endpoint específico ou padrão de payload conhecido publicamente, o que limita a capacidade de detecção precisa — na ausência desse detalhe, monitorar qualquer acesso anônimo bem-sucedido a funcionalidades do SDK é o sinal mais genérico disponível.