CVE-2025-61882 — Oracle E-Business Suite में बिना प्रमाणीकरण के रिमोट कोड निष्पादन

CVSS 9.8 क्रिटिकल

अवलोकन

CVE-2025-61882 Oracle E-Business Suite (EBS) में एक बिना प्रमाणीकरण के रिमोट कोड निष्पादन भेद्यता है, जो Concurrent Processing और BI Publisher घटकों को प्रभावित करती है। यह दोष किसी बिना प्रमाणीकरण वाले हमलावर को HTTP के माध्यम से नेटवर्क एक्सेस के साथ लक्ष्य प्रणाली से पूरी तरह समझौता करने की अनुमति देता है। इसका शोषण Clop रैनसमवेयर समूह सहित अन्य द्वारा वास्तविक दुनिया में किया गया है, और इसे अक्टूबर 2025 में CISA Known Exploited Vulnerabilities (KEV) कैटलॉग में जोड़ा गया था।

तकनीकी विवरण

यह भेद्यता उस तरीके में निहित है जिसमें Oracle EBS Concurrent Processing / BI Publisher सबसिस्टम के भीतर अविश्वसनीय डेटा के deserialization को संभालता है। उजागर एंडपॉइंट्स पर एक क्राफ्टेड serialized ऑब्जेक्ट पेलोड भेजकर, एक हमलावर Oracle EBS एप्लिकेशन सर्वर पर मनमाना कोड निष्पादन प्राप्त कर सकता है। किसी प्रमाणीकरण की आवश्यकता नहीं है, और हमले की जटिलता कम है।

प्रभावित संस्करण

• Oracle E-Business Suite 12.2.3 से 12.2.14
• Concurrent Processing और BI Publisher दोनों घटक प्रभावित हैं

पुनरुत्पादन चरण

1. Oracle EBS 12.2.3–12.2.14 चलाने वाले लक्ष्य की पहचान करें जिसमें BI Publisher या Concurrent Processing उजागर हो।
2. पुष्टि करें कि लक्ष्य प्रासंगिक HTTP(s) पोर्ट पर पहुँच योग्य है।
3. भेद्य एंडपॉइंट पर क्राफ्टेड पेलोड भेजने के लिए प्रदान की गई exploit स्क्रिप्ट का उपयोग करें।
4. प्रतिक्रिया या out-of-band कॉलबैक के माध्यम से कमांड निष्पादन सत्यापित करें।

PoC

python exploit.py --target https://target.example.com:8001 --command "whoami"

शमन

• अक्टूबर 2025 में जारी Oracle Critical Patch Update (CPU) लागू करें।
• Oracle EBS एप्लिकेशन टियर तक नेटवर्क पहुँच प्रतिबंधित करें।
• असामान्य deserialization प्रयासों की निगरानी करें।
• ज्ञात दुर्भावनापूर्ण serialized पेलोड पैटर्न को ब्लॉक करने के लिए WAF नियम तैनात करें।

संदर्भ

• https://nvd.nist.gov/vuln/detail/CVE-2025-61882
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Oracle Critical Patch Update सलाह (अक्टूबर 2025)