CVE-2019-2616

Falha de bypass de autenticação no componente de segurança do Oracle BI Publisher (antigo XML Publisher), parte do Oracle Fusion Middleware, que permite a um atacante não autenticado, via HTTP, obter acesso não autorizado a dados e realizar operações de leitura, inserção, atualização e exclusão em recursos do BI Publisher. É explorada ativamente desde pelo menos 2022 (está no catálogo KEV da CISA) e possui PoC pública e template Nuclei, o que reduz drasticamente a barreira de exploração — praticamente qualquer scanner automatizado consegue identificá-la e explorá-la.

A vulnerabilidade está no subcomponente 'BI Publisher Security' do Oracle BI Publisher. O advisory da Oracle não detalha o mecanismo interno, mas a classificação CVSS (AV:N/AC:L/PR:N/UI:N/S:C) e o comportamento reportado por pesquisadores indicam falha de controle de acesso/autenticação (CWE-287/CWE-306) em endpoints administrativos ou de serviço expostos via HTTP, que deveriam exigir sessão autenticada mas não validam corretamente as credenciais antes de processar a requisição.

O 'Scope: Changed' (S:C) no vetor CVSS indica que o impacto extrapola o componente vulnerável e afeta outros recursos do Fusion Middleware que compartilham o mesmo contexto de segurança — por isso a Oracle destaca que 'attacks may significantly impact additional products' além do BI Publisher isoladamente.

O impacto declarado é C:L/I:L/A:N — confidencialidade e integridade parciais, sem impacto em disponibilidade. Na prática isso se traduz em leitura de um subconjunto de dados acessíveis pelo BI Publisher e capacidade de inserir, atualizar ou apagar registros nesse mesmo subconjunto, sem que o atacante precise fornecer qualquer credencial válida.

O vetor é rede (HTTP), sem necessidade de autenticação (PR:N) e sem interação do usuário (UI:N), com complexidade de ataque baixa (AC:L) — a Oracle classifica como 'easily exploitable'. Isso, combinado com a existência de PoC pública e template Nuclei, torna a exploração trivial de automatizar: basta identificar uma instância BI Publisher exposta na internet e enviar a requisição que contorna o controle de acesso.

Na prática, campanhas de scanning em massa usam esse tipo de CVE para varrer a internet em busca de instâncias vulneráveis do Oracle Fusion Middleware/BI Publisher, sem seletividade de alvo. A inclusão no catálogo KEV da CISA em março de 2022 confirma exploração ativa em ambiente real, embora a CISA não tenha atribuído a falha a nenhuma campanha de ransomware conhecida.

O resultado de uma exploração bem-sucedida é acesso não autorizado a dados de relatórios e recursos administrativos do BI Publisher, com capacidade de modificar ou apagar esses dados — o que pode servir como ponto de entrada para escalada posterior dentro do ambiente Fusion Middleware, dado o 'Scope: Changed' do vetor.

A Oracle disponibilizou correção através do Critical Patch Update de abril de 2019 (CPU Apr2019). Instâncias de BI Publisher nas versões 11.1.1.9.0, 12.2.1.3.0 e 12.2.1.4.0 devem aplicar o patch correspondente a essa CPU e às CPUs subsequentes, que mantêm a correção. O advisory oficial (cpuapr2019) traz a matriz de patches por versão — não há números de release fixos publicados na descrição consultada além dessas três versões afetadas.

Se não for possível aplicar o patch imediatamente, o paliativo real é restringir o acesso de rede ao BI Publisher — colocá-lo atrás de VPN, segmentação de rede ou controle de acesso que impeça exposição direta à internet — já que o vetor exige apenas acesso HTTP não autenticado. Isso reduz a superfície mas não corrige a falha; qualquer usuário com acesso à rede interna liberada ainda pode explorá-la.

Não existe mitigação via WAF genérica documentada nas fontes consultadas — como o mecanismo exato do bypass não foi detalhado publicamente pela Oracle, regras de WAF criadas sem conhecimento preciso do payload tendem a ser incompletas. O único controle confiável é a atualização via CPU ou o isolamento total de rede da instância.

Não há assinatura de log padrão documentada nas fontes consultadas para esta CVE específica. Como há template Nuclei público, é razoável monitorar requisições HTTP/HTTPS direcionadas a endpoints administrativos ou de segurança do BI Publisher que não seguem o fluxo normal de autenticação (por exemplo, respostas 200 em rotas que deveriam exigir sessão), e cruzar com scanners automatizados de vulnerabilidade batendo em caminhos típicos do produto. Ausência de detalhamento oficial do payload de exploração limita a criação de regras de detecção confiáveis sem análise adicional do tráfego do ambiente específico.