Oracle Fusion Middleware Oracle HTTP Server / WebLogic Server Proxy Plug-in possui uma falha facilmente explorável, não autenticada e acessível pela rede, que permite comprometimento via HTTP. As versões suportadas afetadas incluem 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0.

[PERSPECTIVA DO DEFENSOR] - AÇÕES IMEDIATAS (ALÉM DO PATCHING)[citation:6][citation:8] *** PATCHING É INEGOCIÁVEL. APLIQUE O CPU DE JANEIRO DE 2026 DA ORACLE[citation:10]. ***

PSEUDOCÓDIGO - LÓGICA CONCEITUAL DO ATACANTE

Isto NÃO é um exploit funcional. É o fluxo de trabalho do atacante.

1. TARGET_DISCOVERY:

   • Use shodan/censys para encontrar Oracle HTTP Servers (porta 80/443).
   • Use seu check.py ou uma variante para identificar versões afetadas (12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0)[citation:1][citation:7].

2. VULNERABILITY_CONFIRMATION:

   • Envie uma sonda segura, sem travamento para confirmar se o plug-in de proxy está presente e potencialmente vulnerável.
   • Exemplo: Envie a requisição com cabeçalhos X-WebLogic-KeepAlive conflitantes e observe a resposta. Uma falha, travamento ou mensagem de erro específica é um indicador positivo[citation:6].

3. EXPLOIT_DEVELOPMENT & TESTING (A Arte Sombria):

   • Em um laboratório controlado com uma configuração vulnerável idêntica, o atacante: a. Fuzzing do gatilho de estouro: Ajusta o tamanho e o conteúdo do corpo em chunked para controlar com precisão o layout do heap. b. Contornar Mitigações: Cria shellcode que contorna a Randomização de Layout de Espaço de Endereço (ASLR) e a Prevenção de Execução de Dados (DEP). Isso pode envolver cadeias de Return-Oriented Programming (ROP). c. Engenharia de Estabilidade: Garante que o exploit não derrube o serviço de forma a negar acesso, permitindo a instalação persistente de backdoor.

4. DEPLOYMENT:

   • O payload final seria uma única requisição HTTP POST maliciosa contendo o conflito exato de cabeçalhos e um corpo em chunked perfeitamente dimensionado e carregado com shellcode.