CVE-2025-61882 - Exploit RCE Pre-Auth de Oracle E-Business Suite

Una vulnerabilidad crítica de Ejecución Remota de Código (RCE) sin autenticación previa en Oracle E-Business Suite (versiones 12.2.3–12.2.14) permite a los atacantes obtener control total sobre servidores vulnerables mediante solicitudes HTTP maliciosas — ahora explotada activamente en el mundo real.

TL;DR

CVE-2025-61882 es un RCE crítico sin autenticación previa en Oracle E-Business Suite (EBS) explotado activamente en campañas de extorsión/robo de datos. Versiones afectadas: 12.2.3 → 12.2.14. Oracle publicó un aviso de emergencia con IOCs (IPs, comando de stager de shell, SHA-256). Parchee o proteja los sistemas expuestos inmediatamente, busque con las detecciones proporcionadas y use el script Python seguro a continuación para escanear registros. No ejecute PoCs públicos en producción — pruebe solo en un laboratorio aislado con autorización. 🛑🗿

Cover

#!/usr/bin/env python3 """ ebs_safe_hunt.py — Analizador de registros seguro para indicadores de CVE-2025-61882. Uso: python3 ebs_safe_hunt.py /path/to/access.log Notas: - Analiza líneas de registro combinado de Apache/Nginx. - Marca POSTs a UiServlet/OA_HTML, IPs maliciosas del aviso de Oracle, patrones de stager de shell y hashes SHA256 observados. - Seguro: sin red / sin ejecución de exploits. """ import sys import re from collections import Counter, defaultdict # Expresión regular para formato de registro combinado común LOG_PATTERN = re.compile( r'(?P<ip>\S+) \S+ \S+ \[(?P<time>.*?)\] "(?P<method>\S+) (?P<uri>\S+) \S+" (?P<status>\d{3}) (?P<size>\S+) "(?P<ref>[^"]*)" "(?P<ua>[^"]*)"' ) # IOCs proporcionados por Oracle MALICIOUS_IPS = {"200.107.207.26", "185.181.60.11"} MALICIOUS_HASHES = { "76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d", "aa0d3859d6633b62bccfb69017d33a8979a3be1f3f0a5a4bf6960d6c73d41121", "6fd538e4a8e3493dda6f9fcdc96e814bdd14f3e2ef8aa46f0143bff34b882c1b", } SHELL_PATTERN = "/bin/bash -i" # buscamos esta subcadena (estilo shell inverso) SUSPICIOUS_PATHS = ["UiServlet", "/OA_HTML/"] # Opcional: lista de user-agents sospechosos utilizados a menudo por escáneres SUSPICIOUS_UAS = ["curl", "wget", "python-requests", "nikto", "sqlmap", "masscan", "Nmap"] def analyze_log(path): ip_counts = Counter() uri_counts = Counter() ua_counts = Counter() suspicious = defaultdict(list) with open(path, "r", errors="replace") as fh: for line_no, line in enumerate(fh, 1): m = LOG_PATTERN.search(line) if not m: # Opcionalmente, aún verifique hashes o patrón de shell en líneas no estructuradas if any(h in line for h in MALICIOUS_HASHES): suspicious["malicious_hash_lines"].append((line_no, line.strip())) if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_pattern_lines"].append((line_no, line.strip())) continue ip = m.group("ip") method = m.group("method") uri = m.group("uri") ua = m.group("ua") size = m.group("size") ip_counts[ip] += 1 uri_counts[uri] += 1 ua_counts[ua] += 1 # 1) IPs maliciosas (Oracle) if ip in MALICIOUS_IPS: suspicious["malicious_ips"].append((line_no, ip, method, uri, ua)) # 2) POSTs a rutas EBS sospechosas if method.upper() == "POST" and any(p in uri for p in SUSPICIOUS_PATHS): suspicious["servlet_posts"].append((line_no, ip, uri, ua)) # 3) User-agents sospechosos (escáneres) if any(k.lower() in ua.lower() for k in SUSPICIOUS_UAS): suspicious["suspicious_ua"].append((line_no, ip, uri, ua)) # 4) Respuestas muy grandes (posible exfiltración) — ajuste el umbral para su entorno try: if size != "-" and int(size) > 5_000_000: # >5MB suspicious["large_responses"].append((line_no, ip, uri, size)) except ValueError: pass # 5) Patrón de stager de shell o patrones /dev/tcp en la línea if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_stager"].append((line_no, ip, uri, line.strip())) # 6) Hashes de archivos maliciosos conocidos presentes en los registros (si están disponibles) for h in MALICIOUS_HASHES: if h in line: suspicious["malicious_hash"].append((line_no, ip, uri, h)) return { "ip_counts": ip_counts, "uri_counts": uri_counts, "ua_counts": ua_counts, "suspicious": suspicious } def pretty_report(r, top=10): print("\n=== INFORME DE BÚSQUEDA EBS ===\n") print("IPs de origen principales:") for ip, c in r["ip_counts"].most_common(top): print(f" {ip}: {c}") print("\nURIs principales:") for uri, c in r["uri_counts"].most_common(top): print(f" {uri}: {c}") print("\nUser-Agents principales:") for ua, c in r["ua_counts"].most_common(top): print(f" {ua}: {c}") print("\nHallazgos sospechosos:") if not r["suspicious"]: print(" No se encontró ninguno.") return for k, items in r["suspicious"].items(): print(f"\n-- {k} ({len(items)} coincidencias) --") for item in items[:100]: print(" " + " | ".join(map(str, item))) if __name__ == "__main__": if len(sys.argv) != 2: print("Uso: python3 ebs_safe_hunt.py /path/to/access.log") sys.exit(1) path = sys.argv[1] result = analyze_log(path) pretty_report(result)

CVE-2025-61882-Oracle-E-Business-Suite-Pre-Auth-RCE-Exploit

Más Populares

Acerca de

Por qué esto importa

Resumen técnico (breve)

Cronología (resumida)

Comportamiento observado del atacante (TTPs)

IOCs proporcionados por Oracle (úsalos inmediatamente)

Reglas de detección y correlación de alta prioridad (iniciadores prácticos)

Qué contiene este paquete

Inicio rápido

Seguridad y reglas de compromiso

Profundizando en los Scripts:

Script de detección seguro (Python) — úselo contra registros (sin exploits, sin llamadas de red)

Lista de verificación de mitigación y contención inmediata (práctica)

Resumen para liderazgo (una página — copiar/pegar)

Notas finales y precauciones

Nota de despedida