Visão geral

CVE-2022-21445 (pontuação CVSS 9,8), a vulnerabilidade é uma desserialização de dados não confiáveis, identificada como existente no componente ADF Faces, que pode ser explorada remotamente por hackers sem necessidade de autenticação (pre-authentication) para executar RCE.

A vulnerabilidade acima foi descoberta por 2 especialistas em segurança cibernética, PeterJson da VNG Corporation e Nguyen Jang da VNPT. A Oracle recebeu esse relatório em outubro de 2021 e levou cerca de 6 meses, ou seja, até abril de 2022, para lançar a correção.

Neste artigo, a exploração concentra-se no Oracle Bussiness Intelligence versão 12.2.1.4.0

Análise - Reprodução da vulnerabilidade

Configuração do ambiente

Lado da máquina vítima/alvo

Pré-requisito: Instale Windows 10+ Pro ou Windows Home (x64) com licença ativada ou use Windows Server (de preferência, use o da Oracle)

Passo 1: Instale o Java, versão jdk 8u112 ou superior (8Ux), link de download: JDKv8U112

• Adicione JAVA_HOME com o caminho apontando para o diretório jdk (não jre)

Passo 2: Instale o Oracle Database 19c, link de download: Oracle 19c

1. Prepare uma pasta para instalar o banco de dados, crie um caminho como o abaixo e extraia o arquivo zip do banco de dados recém-baixado para C:\app\oracle\product\19c\db_home1

2. Execute o arquivo setup.application como administrador

3. Siga cada etapa passo a passo conforme o guia em Guia de instalação do DB

4. Muita atenção: No passo 8/17, lembre-se de marcar Create as Container database para abrir um pluggable db a fim de atender ao processo de instalação do Fusion Middleware que virá a seguir

No passo 9/17, escolha o conjunto de caracteres como Unicode (AL32UTF8)

5. Após a conclusão da instalação, verifique cuidadosamente nos Serviços do Windows para garantir que os 4 serviços principais, como na imagem abaixo, estejam com status RUNNING

6. Crie uma nova conta de banco de dados Oracle seguindo os passos:

• Terminal como Administrador -> sqlplus / as sysdba
• Criar o usuário de sistema system: alter user system identified by system_password account unlock;
• Verificar a existência do usuário system: select username from dba_users;
• Configurar o ambiente: alter session set “_oracle_script”=true;
• Criar usuário comum hr: create user hr identified by user_password;
• Conceder privilégios: grant all privileges to hr;
• Desbloquear a conta – ajustar senha: alter user hr identified by hr_pass account unlock;
• Criar nova conta de sistema: alter user sys identified by sys_pass account unlock;

Passo 3: Instale o SQL Developer, versão no-jre, link de download: SQLDev-NoJRE

• Execute o arquivo sqldeveloper.application como administrador

• Configure os parâmetros para uma nova conexão como na imagem abaixo, lembrando de alterar Username e Password (como no exemplo acima, hr), Hostname (padrão é localhost), Port (padrão é 1521), SID (é o global database name instalado no passo 2)

• Se ao selecionar Test aparecer a mensagem Success, a conexão foi bem-sucedida; selecione Connect

Passo 4: Instale o Fusion Middleware Infrastructure (FMW) versão 12.2.1.3.0, link de download FMW_ver_12.2.1.3.0

• Crie o caminho para o diretório de instalação do FMW no formato C:\Oracle\Middleware\Oracle_Home
• Siga os passos conforme o guia: Guia de instalação do FMW

Passo 5: Instale o Oracle Bussiness Intelligence (OBIEE) versão 12.2.1.4.0, link de download: OBIEE_ver_12.2.1.4.0

• Execute o arquivo setup_bi_platform-12.2.1.4.0_win64.exe como administrador

• Instale passo a passo conforme o Guia de instalação do OBIEE

• Atenção: o caminho do BI deve ser igual ao caminho onde o FMW foi instalado, como aqui: Oracle/Middleware/Oracle_Home

Passo 6: Configure o BI Schema usando o utilitário Repository Creation Utility (RCU)

• No caminho C:\Oracle\Middleware\Oracle_Home\oracle_common\bin, execute o arquivo rcu.bat como administrador

• Execute os passos a seguir na ordem

• Por fim, clique em Create para o sistema criar o BI Schema

Passo 7: Configure as variáveis de ambiente para o OBIEE

• Acesse Painel de Controle > Sistema > Configurações avançadas do sistema > Avançado > Variáveis de Ambiente > Nova Variável de Sistema

Passo 8: Criar o BI Domain

1. No caminho C:\Oracle\Middleware\Oracle_Home\bi\bin, execute o arquivo config.cmd como administrador

2. No passo 1: selecione os 3 componentes, em que Essbase é o servidor OLAP, Business Intelligence Enterprise Edition é o BI Analytics e Business Intelligence Publisher é o BI Publisher