CVE-2025-61882 - استغلال RCE قبل المصادقة في Oracle E-Business Suite

ثغرة حرجة في تنفيذ الأوامر عن بُعد (RCE) قبل المصادقة في Oracle E-Business Suite (الإصدارات 12.2.3–12.2.14) تسمح للمهاجمين بالسيطرة الكاملة على الخوادم الضعيفة عبر طلبات HTTP خبيثة — ويتم استغلالها بنشاط في البرية.

TL;DR

CVE-2025-61882 هي ثغرة حرجة، RCE قبل المصادقة في Oracle E-Business Suite (EBS) يتم استغلالها بنشاط في حملات الابتزاز/سرقة البيانات. الإصدارات المتأثرة: 12.2.3 → 12.2.14. نشرت Oracle استشارة طارئة مع مؤشرات الاختراق (IOCs) (عناوين IP، أمر shell-stager، قيم SHA-256). قم بتطبيق التصحيح أو حماية الأنظمة المكشوفة فورًا، وابحث باستخدام أدوات الكشف المقدمة، واستخدم سكربت Python الآمن أدناه لفحص السجلات. لا تشغّل PoCs العامة على بيئة الإنتاج — اختبر فقط في مختبر معزول وبإذن. 🛑🗿

Cover

لماذا هذا مهم

#!/usr/bin/env python3 """ ebs_safe_hunt.py — محلل سجلات آمن لمؤشرات CVE-2025-61882. الاستخدام: python3 ebs_safe_hunt.py /path/to/access.log ملاحظات: - يحلل أسطر سجلات Apache/Nginx combined. - يحدد POSTs إلى UiServlet/OA_HTML، وعناوين IP الخبيثة من استشارة Oracle، وأنماط shell stager، وقيم SHA256 المرصودة. - آمن: بدون شبكة / بدون تنفيذ استغلال. """ import sys import re from collections import Counter, defaultdict # Regex لتنسيق السجل combined الشائع LOG_PATTERN = re.compile( r'(?P<ip>\S+) \S+ \S+ \[(?P<time>.*?)\] "(?P<method>\S+) (?P<uri>\S+) \S+" (?P<status>\d{3}) (?P<size>\S+) "(?P<ref>[^"]*)" "(?P<ua>[^"]*)"' ) # مؤشرات الاختراق المقدمة من Oracle MALICIOUS_IPS = {"200.107.207.26", "185.181.60.11"} MALICIOUS_HASHES = { "76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d", "aa0d3859d6633b62bccfb69017d33a8979a3be1f3f0a5a4bf6960d6c73d41121", "6fd538e4a8e3493dda6f9fcdc96e814bdd14f3e2ef8aa46f0143bff34b882c1b", } SHELL_PATTERN = "/bin/bash -i" # نبحث عن هذه السلسلة الفرعية (نمط reverse shell) SUSPICIOUS_PATHS = ["UiServlet", "/OA_HTML/"] # اختياري: قائمة وكلاء المستخدم المشبوهين المستخدمين غالبًا من قبل الماسحات SUSPICIOUS_UAS = ["curl", "wget", "python-requests", "nikto", "sqlmap", "masscan", "Nmap"] def analyze_log(path): ip_counts = Counter() uri_counts = Counter() ua_counts = Counter() suspicious = defaultdict(list) with open(path, "r", errors="replace") as fh: for line_no, line in enumerate(fh, 1): m = LOG_PATTERN.search(line) if not m: # اختياريًا، تحقق من الهاشات أو نمط shell في الأسطر غير المهيكلة if any(h in line for h in MALICIOUS_HASHES): suspicious["malicious_hash_lines"].append((line_no, line.strip())) if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_pattern_lines"].append((line_no, line.strip())) continue ip = m.group("ip") method = m.group("method") uri = m.group("uri") ua = m.group("ua") size = m.group("size") ip_counts[ip] += 1 uri_counts[uri] += 1 ua_counts[ua] += 1 # 1) عناوين IP الخبيثة (Oracle) if ip in MALICIOUS_IPS: suspicious["malicious_ips"].append((line_no, ip, method, uri, ua)) # 2) POSTs إلى مسارات EBS المشبوهة if method.upper() == "POST" and any(p in uri for p in SUSPICIOUS_PATHS): suspicious["servlet_posts"].append((line_no, ip, uri, ua)) # 3) وكلاء المستخدم المشبوهون (الماسحات) if any(k.lower() in ua.lower() for k in SUSPICIOUS_UAS): suspicious["suspicious_ua"].append((line_no, ip, uri, ua)) # 4) استجابات كبيرة جدًا (سرقة محتملة) — اضبط العتبة لبيئتك try: if size != "-" and int(size) > 5_000_000: # >5MB suspicious["large_responses"].append((line_no, ip, uri, size)) except ValueError: pass # 5) نمط shell stager أو أنماط /dev/tcp في السطر if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_stager"].append((line_no, ip, uri, line.strip())) # 6) هاشات الملفات الخبيثة المعروفة الموجودة في السجلات (إن وجدت) for h in MALICIOUS_HASHES: if h in line: suspicious["malicious_hash"].append((line_no, ip, uri, h)) return { "ip_counts": ip_counts, "uri_counts": uri_counts, "ua_counts": ua_counts, "suspicious": suspicious } def pretty_report(r, top=10): print("\n=== EBS HUNT REPORT ===\n") print("أهم عناوين IP المصدر:") for ip, c in r["ip_counts"].most_common(top): print(f" {ip}: {c}") print("\nأهم URIs:") for uri, c in r["uri_counts"].most_common(top): print(f" {uri}: {c}") print("\nأهم وكلاء المستخدم:") for ua, c in r["ua_counts"].most_common(top): print(f" {ua}: {c}") print("\nالنتائج المشبوهة:") if not r["suspicious"]: print(" لم يتم العثور على شيء.") return for k, items in r["suspicious"].items(): print(f"\n-- {k} ({len(items)} تطابق) --") for item in items[:100]: print(" " + " | ".join(map(str, item))) if __name__ == "__main__": if len(sys.argv) != 2: print("الاستخدام: python3 ebs_safe_hunt.py /path/to/access.log") sys.exit(1) path = sys.argv[1] result = analyze_log(path) pretty_report(result)

CVE-2025-61882-Oracle-E-Business-Suite-Pre-Auth-RCE-Exploit

الأكثر شعبية

الملخص الفني (مختصر)

الجدول الزمني (مختصر)

سلوك المهاجم المرصود (TTPs)

مؤشرات الاختراق المقدمة من Oracle (استخدمها فورًا)

قواعد الكشف والربط عالية الأولوية (بدايات عملية)

ما في هذه الحزمة

بدء سريع

السلامة وقواعد الاشتباك

الغوص العميق في السكربتات:

سكربت الكشف الآمن (Python) — استخدمه ضد السجلات (بدون استغلال، بدون استدعاءات شبكة)

قائمة التخفيف والاحتواء الفورية (عملية)

موجز القيادة (صفحة واحدة — انسخ/الصق)

ملاحظات وتحذيرات نهائية

ملاحظة الوداع