CVE-2025-61882 - Oracle E-Business Suite प्री-ऑथ RCE एक्सप्लॉइट

Oracle E-Business Suite (संस्करण 12.2.3–12.2.14) में एक गंभीर प्री-ऑथेंटिकेशन रिमोट कोड एक्ज़ीक्यूशन (RCE) दोष हमलावरों को दुर्भावनापूर्ण HTTP अनुरोधों के माध्यम से कमजोर सर्वरों पर पूर्ण नियंत्रण प्राप्त करने की अनुमति देता है — अब वास्तविक दुनिया में सक्रिय रूप से शोषित किया जा रहा है।

TL;DR

CVE-2025-61882 Oracle E-Business Suite (EBS) में एक गंभीर, प्री-ऑथ RCE है जो जबरन वसूली/डेटा चोरी अभियानों में सक्रिय रूप से शोषित किया जा रहा है। प्रभावित संस्करण: 12.2.3 → 12.2.14। Oracle ने IOCs (IPs, शेल-स्टेजर कमांड, SHA-256s) के साथ एक आपातकालीन सलाह प्रकाशित की। प्रभावित सिस्टम को तुरंत पैच या सुरक्षित करें, दिए गए डिटेक्शन के साथ खोज करें, और लॉग स्कैन करने के लिए नीचे दिए गए सुरक्षित Python स्क्रिप्ट का उपयोग करें। प्रोडक्शन पर सार्वजनिक PoCs न चलाएं — केवल अधिकृत पृथक लैब में परीक्षण करें। 🛑🗿

Cover

यह क्यों महत्वपूर्ण है

Oracle EBS महत्वपूर्ण व्यावसायिक कार्यों (ERP, पेरोल, वित्त, HR) को चलाता है। वेब-फेसिंग EBS इंस्टेंस में प्री-ऑथ RCE हमलावर को एप्लिकेशन सर्वर पर मनमाने कमांड निष्पादित करने, संवेदनशील डेटा तक पहुंचने, वेबशेल ड्रॉप करने और फाइलें एक्सफिल्ट्रेट करने की अनुमति देता है। यह कमजोरी वास्तविक दुनिया में हथियार बनाई गई और जबरन वसूली अभियानों से जुड़ी — यह एक वास्तविक व्यावसायिक घटना है, कोई सैद्धांतिक CVE नहीं। 🔥

तकनीकी सारांश (संक्षिप्त)

प्रकार: प्री-ऑथेंटिकेशन रिमोट कोड एक्ज़ीक्यूशन (RCE)
उत्पाद: Oracle E-Business Suite (EBS)
प्रभावित संस्करण: 12.2.3 → 12.2.14
हमले की सतह: वेब-फेसिंग घटक — UiServlet, /OA_HTML/ फ्लो, और संबंधित एंडपॉइंट
CVSS (लगभग): 9.8 — गंभीर मानें
एक्सप्लॉइट: एप सर्वर पर कमांड निष्पादन की ओर ले जाने वाले तैयार किए गए HTTP अनुरोध; वास्तविक दुनिया में कई एक्सप्लॉइट पैटर्न देखे गए

समयरेखा (संक्षिप्त)

कमजोरी 2025 में खोजी गई और शोषित की गई।
सार्वजनिक शोषण रिपोर्ट के तुरंत बाद Oracle ने आपातकालीन सलाह और पैच जारी किए।
कई विक्रेताओं ने डिटेक्शन मार्गदर्शन और IOCs प्रकाशित किए।
सार्वजनिक PoCs प्रसारित हुए — अत्यधिक सावधानी से संभालें। ⚠️

देखा गया हमलावर व्यवहार (TTPs)

EBS UIs और संस्करण प्रकटीकरण के लिए स्कैनिंग।
RCE ट्रिगर करने के लिए UiServlet और /OA_HTML/ पर तैयार किए गए POSTs/अनुरोध भेजना।
स्टेजर्स/वेबशेल तैनात करना और रिवर्स शेल स्पॉन करना (जैसे, /bin/bash -i >& /dev/tcp/...)।
संवेदनशील फाइलों को संपीड़ित और एक्सफिल्ट्रेट करना, उसके बाद जबरन वसूली और डेटा लीक की मांग।
ज्ञात जबरन वसूली समूहों से जुड़े इंफ्रास्ट्रक्चर का उपयोग करना।

Oracle-प्रदत्त IOCs (तुरंत उपयोग करें)

Oracle नोट करता है कि ये IOCs घटनाओं में देखी गई गतिविधि हैं (केवल CVE-2025-61882 तक सीमित नहीं)। किसी भी सकारात्मक मिलान को उच्च प्राथमिकता मानें।

IPs

200.107.207.26 — संभावित GET/POST गतिविधि
185.181.60.11 — संभावित GET/POST गतिविधि

शेल स्टेजर पैटर्न

sh -c /bin/bash -i >& /dev/tcp// 0>&1 — देखी गई आउटबाउंड TCP रिवर्स शेल शैली कमांड

SHA-256 हैश (एक्सप्लॉइट / PoC आर्टिफैक्ट्स)

76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d (oracle_ebs_nday_exploit_poc_scattered_lapsus_retard_cl0p_hunters.zip)
aa0d3859d6633b62bccfb69017d33a8979a3be1f3f0a5a4bf6960d6c73d41121 (.../exp.py)
6fd538e4a8e3493dda6f9fcdc96e814bdd14f3e2ef8aa46f0143bff34b882c1b (.../server.py)

प्रभावित संस्करण (जोर देने के लिए दोहराया गया)

Oracle E-Business Suite 12.2.3 — 12.2.14। 🔁

उच्च-प्राथमिकता डिटेक्शन और सहसंबंध नियम (व्यावहारिक स्टार्टर्स)

TL;DR GitHub रेपो में CVE-2025-61882 (Oracle E-Business Suite प्री-ऑथ RCE) के लिए निष्क्रिय डिटेक्शन आर्टिफैक्ट्स शामिल हैं। इनका उपयोग खोज, ट्राइएज और रोकथाम के लिए करें — शोषण के लिए नहीं। 🛑🗿

detections/ फ़ोल्डर के अंदर एक संक्षिप्त Description.md (मिनी-README) पहले ही जोड़ा जा चुका है — पूर्ण राइटअप और TL;DR के लिए उस फ़ाइल की जांच करें। यह टॉप-लेवल README केवल डिटेक्शन पैक और उपयोग का सारांश देता है ताकि आप जल्दी से चीजें पकड़ सकें और चला सकें।

इस पैक में क्या है

detections/splunk/
- oracle_cve61882_ioc_traffic.spl — Oracle-प्रदत्त IOC IPs से/को ट्रैफिक का पता लगाएं।
- oracle_cve61882_uiservlet_post.spl — बाहरी IPs से UiServlet / /OA_HTML/ पर संदिग्ध POSTs का पता लगाएं।
- oracle_cve61882_reverse_shell.spl — एंडपॉइंट लॉग में रिवर्स-शेल शैली प्रोसेस निर्माण का पता लगाएं।
detections/elastic/
- oracle_cve61882_uiservlet_post.kql — UiServlet/OA_HTML POSTs के लिए KQL।
- oracle_cve61882_filehash_detection.kql — Oracle-प्रदत्त दुर्भावनापूर्ण SHA-256s से मिलान करने के लिए KQL।
detections/scripts/
- ebs_safe_hunt.py — सुरक्षित, ऑफ़लाइन Python लॉग पार्सर (कोई नेटवर्क कॉल नहीं, कोई एक्सप्लॉइट निष्पादन नहीं)। अपने एक्सेस लॉग की प्रतियों पर चलाएं।
detections/Description.md
- आपके द्वारा जोड़ा गया मिनी राइटअप/TL;DR — इसमें पूर्ण संदर्भ, IOCs, प्रभावित संस्करण और मार्गदर्शन शामिल है।

त्वरित प्रारंभ

संदर्भ और IOCs के लिए detections/Description.md की समीक्षा करें। ✅
Splunk .spl क्वेरीज़ को अपने Splunk वातावरण में ड्रॉप करें (या उन्हें सेव्ड सर्च / अलर्ट में आयात करें)।
KQL क्वेरीज़ को Kibana / Elastic डिटेक्शन नियमों में पेस्ट करें।
ebs_safe_hunt.py को ऐसे होस्ट पर कॉपी करें जिसके पास केवल संग्रहीत या संपादित लॉग तक पढ़ने की पहुंच हो, फिर चलाएं:
```
python3 ebs_safe_hunt.py /path/to/access.log
```
फ़्लैग किए गए malicious_ips, servlet_posts, shell_stager, और malicious_hash आउटपुट की समीक्षा करें और आवश्यकतानुसार एस्केलेट करें। 🕵️‍♂️

सुरक्षा और संलग्नता के नियम

ये आर्टिफैक्ट्स केवल निष्क्रिय डिटेक्शन टूल हैं। प्रोडक्शन या उन सिस्टमों के खिलाफ सार्वजनिक PoCs न चलाएं जिनके आप मालिक/अधिकृत नहीं हैं। ⚠️
यदि डिटेक्शन पुष्टि किए गए समझौते (फ़ाइल-हैश हिट, रिवर्स-शेल सबूत, या वेबशेल) दिखाता है, तो होस्ट को अलग करें और तुरंत फोरेंसिक एकत्र करें।

स्क्रिप्ट्स में गहराई से जाना:

सिद्धांत: संस्करण प्रकटीकरण या UI हिट्स को उच्च-विश्वास संकेतकों (दुर्भावनापूर्ण IPs, UiServlet/OA_HTML पर POST, रिवर्स शेल प्रोसेस स्ट्रिंग्स, फ़ाइल हैश मिलान, बड़े आउटबाउंड अपलोड) के साथ संयोजित करें।

Splunk उदाहरण Oracle IOCs के लिए ट्रैफिक का पता लगाएं:

index=web_logs OR index=proxy_logs
| where clientip IN ("200.107.207.26","185.181.60.11") OR dest_ip IN ("200.107.207.26","185.181.60.11")
| stats count by clientip, dest_ip, uri, method, useragent, _time
| sort - count

बाहरी IPs से UiServlet/OA_HTML POSTs का पता लगाएं:

index=web_logs sourcetype=access_combined
| where (uri LIKE "%UiServlet%" OR uri LIKE "%/OA_HTML/%") AND method="POST"
| where NOT cidrmatch("10.0.0.0/8", clientip)  // अपनी आंतरिक रेंज के लिए समायोजित करें
| stats count by clientip, uri, useragent, _time
| sort - count

रिवर्स शेल प्रोसेस निर्माण का पता लगाएं (EDR):

index=endpoint_events sourcetype=os_process
| where process_cmdline LIKE "%/bin/bash -i%/dev/tcp/%" OR process_cmdline LIKE "%/dev/tcp//%"
| table _time host user process_name process_cmdline parent_process

Elastic / KQL उदाहरण UiServlet संदिग्ध POST:

http.request.method : "POST" and (http.request.uri : "*UiServlet*" or http.request.uri : "/OA_HTML/*") and not client.ip : ("10.0.0.0/8")

फ़ाइल हैश डिटेक्शन:

event.type: "file" and file.hash.sha256 : ("76b6d36e04e3...", "aa0d3859d66...", "6fd538e4a8e3...")

Sigma (पोर्टेबल नियम विचार)

नियम: बाहरी IPs से UiServlet//OA_HTML/ पर POST → उच्च प्राथमिकता
नियम: /bin/bash -i >& /dev/tcp/ के साथ प्रोसेस निर्माण → गंभीर
नियम: तीन SHA-256s के लिए फ़ाइल हैश मिलान → पुष्टि किया गया समझौता

सुरक्षित डिटेक्शन स्क्रिप्ट (Python) — लॉग के खिलाफ उपयोग करें (कोई एक्सप्लॉइट नहीं, कोई नेटवर्क कॉल नहीं)

CVE-2025-61882-Oracle-E-Business-Suite-Pre-Auth-RCE-Exploit

सबसे लोकप्रिय

विवरण