adityabhatt3010/cve-2025-61882-oracle-e-business-suite-pre-auth-rce-exploitثغرة حرجة في تنفيذ التعليمات البرمجية عن بُعد (RCE) قبل المصادقة في Oracle E-Business Suite (الإصدارات 12.2.3 - 12.2.14) تسمح للمهاجمين بالسيطرة الكاملة على الخوادم المعرضة للخطر عبر طلبات HTTP خبيثة - ويتم استغلالها الآن بنشاط في البرية.
CVE-2025-61882 هي ثغرة حرجة، RCE قبل المصادقة في Oracle E-Business Suite (EBS) يتم استغلالها بنشاط في حملات الابتزاز/سرقة البيانات. الإصدارات المتأثرة: 12.2.3 → 12.2.14. نشرت Oracle استشارة طارئة مع مؤشرات الاختراق (IOCs) (عناوين IP، أمر shell-stager، قيم SHA-256). قم بتطبيق التصحيح أو حماية الأنظمة المكشوفة فورًا، وابحث باستخدام أدوات الكشف المقدمة، واستخدم سكربت Python الآمن أدناه لفحص السجلات. لا تشغّل PoCs العامة على بيئة الإنتاج — اختبر فقط في مختبر معزول وبإذن. 🛑🗿
يدير Oracle EBS وظائف أعمال حرجة (ERP، الرواتب، المالية، الموارد البشرية). ثغرة RCE قبل المصادقة في مثيل EBS مواجه للويب تسمح للمهاجم بتنفيذ أوامر عشوائية على خادم التطبيق، والوصول المحتمل إلى بيانات حساسة، وإسقاط webshells، وسرقة الملفات. تم تسليح هذه الثغرة في البرية وربطها بحملات ابتزاز — إنها حادثة أعمال حقيقية، وليست CVE نظرية. 🔥
/OA_HTML/، ونقاط النهاية ذات الصلةUiServlet و /OA_HTML/ لتفعيل RCE./bin/bash -i >& /dev/tcp/...).تلاحظ Oracle أن مؤشرات الاختراق هذه هي نشاط مرصود عبر الحوادث (ليست محدودة بـ CVE-2025-61882). تعامل مع أي تطابق إيجابي كأولوية عالية.
عناوين IP
200.107.207.26 — نشاط GET/POST محتمل185.181.60.11 — نشاط GET/POST محتملنمط Shell stager
sh -c /bin/bash -i >& /dev/tcp// 0>&1 — أمر نمط reverse shell صادر مرصودقيم SHA-256 (أدوات الاستغلال / قطع PoC)
76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d
(oracle_ebs_nday_exploit_poc_scattered_lapsus_retard_cl0p_hunters.zip)aa0d3859d6633b62bccfb69017d33a8979a3be1f3f0a5a4bf6960d6c73d41121
(.../exp.py)6fd538e4a8e3493dda6f9fcdc96e814bdd14f3e2ef8aa46f0143bff34b882c1b
(.../server.py)الإصدارات المتأثرة (تكرار للتأكيد)
TL;DR يحتوي مستودع GitHub على أدوات كشف سلبية لـ CVE-2025-61882 (RCE قبل المصادقة في Oracle E-Business Suite). استخدمها للبحث والفرز والاحتواء — وليس للاستغلال. 🛑🗿
تمت إضافة وصف موجز (Description.md) (mini-README) بالفعل داخل مجلد detections/ — راجع هذا الملف للكتابة الكاملة و TL;DR. يلخص هذا README العلوي حزمة الكشف والاستخدام فقط حتى تتمكن من الحصول على الأشياء وتشغيلها بسرعة.
detections/splunk/
oracle_cve61882_ioc_traffic.spl — كشف حركة المرور من/إلى عناوين IP الخاصة بمؤشرات الاختراق المقدمة من Oracle.oracle_cve61882_uiservlet_post.spl — كشف POSTs المشبوهة إلى UiServlet / /OA_HTML/ من عناوين IP خارجية.oracle_cve61882_reverse_shell.spl — كشف إنشاء عمليات بنمط reverse shell في سجلات نقاط النهاية.detections/elastic/
oracle_cve61882_uiservlet_post.kql — KQL لطلبات POST إلى UiServlet/OA_HTML.oracle_cve61882_filehash_detection.kql — KQL لمطابقة قيم SHA-256 الخبيثة المقدمة من Oracle.detections/scripts/
ebs_safe_hunt.py — محلل سجلات Python آمن وغير متصل (بدون استدعاءات شبكة، بدون تنفيذ استغلال). شغّله على نسخ من سجلات الوصول الخاصة بك.detections/Description.md
راجع detections/Description.md للسياق ومؤشرات الاختراق. ✅
ضع استعلامات Splunk .spl في بيئة Splunk الخاصة بك (أو استوردها في عمليات البحث المحفوظة / التنبيهات).
الصق استعلامات KQL في قواعد كشف Kibana / Elastic.
انسخ ebs_safe_hunt.py إلى مضيف لديه وصول قراءة فقط إلى سجلات مؤرشفة أو منقحة، ثم شغّل:
python3 ebs_safe_hunt.py /path/to/access.log
راجع مخرجات malicious_ips و servlet_posts و shell_stager و malicious_hash المميزة وصعّد حسب الحاجة. 🕵️♂️
المبدأ: ادمج كشف الإصدار أو ضربات الواجهة مع مؤشرات عالية الثقة (عناوين IP خبيثة، POST إلى UiServlet/OA_HTML، سلاسل عمليات reverse shell، تطابقات hash ملف، تحميلات صادرة كبيرة).
أمثلة Splunk كشف حركة المرور إلى مؤشرات اختراق Oracle:
index=web_logs OR index=proxy_logs
| where clientip IN ("200.107.207.26","185.181.60.11") OR dest_ip IN ("200.107.207.26","185.181.60.11")
| stats count by clientip, dest_ip, uri, method, useragent, _time
| sort - count
كشف POSTs إلى UiServlet/OA_HTML من عناوين IP خارجية:
index=web_logs sourcetype=access_combined
| where (uri LIKE "%UiServlet%" OR uri LIKE "%/OA_HTML/%") AND method="POST"
| where NOT cidrmatch("10.0.0.0/8", clientip) // اضبط لنطاقاتك الداخلية
| stats count by clientip, uri, useragent, _time
| sort - count
كشف إنشاء عمليات reverse shell (EDR):
index=endpoint_events sourcetype=os_process
| where process_cmdline LIKE "%/bin/bash -i%/dev/tcp/%" OR process_cmdline LIKE "%/dev/tcp//%"
| table _time host user process_name process_cmdline parent_process
أمثلة Elastic / KQL POST مشبوه إلى UiServlet:
http.request.method : "POST" and (http.request.uri : "*UiServlet*" or http.request.uri : "/OA_HTML/*") and not client.ip : ("10.0.0.0/8")
كشف hash ملف:
event.type: "file" and file.hash.sha256 : ("76b6d36e04e3...", "aa0d3859d66...", "6fd538e4a8e3...")
Sigma (أفكار قواعد قابلة للنقل)
UiServlet//OA_HTML/ من عناوين IP خارجية → أولوية عالية/bin/bash -i >& /dev/tcp/ → حرجةيحلل هذا السكربت سجلات الوصول بتنسيق combined ويحدد POSTs المشبوهة إلى UiServlet/OA_HTML، والطلبات من عناوين IP الخبيثة المدرجة من Oracle، وأنماط shell stager، وحدوث قيم SHA-256 المقدمة. لا يقوم بأي نشاط شبكة أو تشغيل كود استغلال.
#!/usr/bin/env python3
"""
ebs_safe_hunt.py — محلل سجلات آمن لمؤشرات CVE-2025-61882.
الاستخدام:
python3 ebs_safe_hunt.py /path/to/access.log
ملاحظات:
- يحلل أسطر سجلات Apache/Nginx combined.
- يحدد POSTs إلى UiServlet/OA_HTML، وعناوين IP الخبيثة من استشارة Oracle،
وأنماط shell stager، وقيم SHA256 المرصودة.
- آمن: بدون شبكة / بدون تنفيذ استغلال.
"""
import sys
import re
from collections import Counter, defaultdict