CVE-2025-61882 - Exploit RCE Pre-Auth Oracle E-Business Suite

Una vulnerabilità critica di Remote Code Execution (RCE) pre-autenticazione in Oracle E-Business Suite (versioni 12.2.3–12.2.14) consente agli attaccanti di ottenere il pieno controllo dei server vulnerabili tramite richieste HTTP malevole — ora attivamente sfruttata in natura.

TL;DR

CVE-2025-61882 è una RCE critica, pre-auth in Oracle E-Business Suite (EBS) attivamente sfruttata in campagne di estorsione/furto di dati. Versioni interessate: 12.2.3 → 12.2.14. Oracle ha pubblicato un advisory d'emergenza con IOC (IP, comando shell-stager, SHA-256). Applica la patch oppure scherma immediatamente i sistemi esposti, caccia con le rilevazioni fornite e usa il sicuro script Python qui sotto per scansionare i log. Non eseguire PoC pubblici in produzione — testa solo in un laboratorio isolato con autorizzazione. 🛑🗿

Cover

Perché è importante

Oracle EBS gestisce funzioni aziendali critiche (ERP, buste paga, finanza, HR). Una RCE pre-auth in un'istanza EBS esposta al web consente a un attaccante di eseguire comandi arbitrari sul server applicativo, potenzialmente accedere a dati sensibili, installare webshell ed esfiltrare file. Questa vulnerabilità è stata armata in natura e collegata a campagne di estorsione — è un vero incidente aziendale, non una CVE teorica. 🔥

Riepilogo tecnico (breve)

Tipo: Remote Code Execution (RCE) pre-autenticazione
Prodotto: Oracle E-Business Suite (EBS)
Versioni interessate: 12.2.3 → 12.2.14
Superficie d'attacco: Componenti esposti al web — UiServlet, flussi /OA_HTML/ ed endpoint correlati
CVSS (approssimativo): 9.8 — trattare come critico
Exploit: Richieste HTTP appositamente create che portano all'esecuzione di comandi sul server applicativo; osservati molteplici pattern di exploit in natura

Cronologia (sintetizzata)

Vulnerabilità scoperta e sfruttata nel 2025.
Oracle ha rilasciato un advisory d'emergenza e patch poco dopo le segnalazioni pubbliche di sfruttamento.
Molti vendor hanno pubblicato linee guida di rilevamento e IOC.
PoC pubblici in circolazione — maneggiare con estrema cautela. ⚠️

Comportamento osservato degli attaccanti (TTP)

Scansione delle UI EBS e divulgazione delle versioni.
Invio di POST/richieste appositamente create a UiServlet e /OA_HTML/ per innescare la RCE.
Distribuzione di stager/webshell e generazione di reverse shell (es., /bin/bash -i >& /dev/tcp/...).
Compressione ed esfiltrazione di file sensibili, seguita da richieste di estorsione e fuga di dati.
Uso di infrastruttura collegata a noti gruppi di estorsione.

IOC forniti da Oracle (usali subito)

Oracle segnala che questi IOC sono attività osservata in più incidenti (non limitati a CVE-2025-61882). Tratta qualsiasi corrispondenza positiva come priorità alta.

200.107.207.26 — Potenziale attività GET/POST
185.181.60.11 — Potenziale attività GET/POST

Pattern shell stager

sh -c /bin/bash -i >& /dev/tcp// 0>&1 — comando osservato di reverse shell TCP in uscita

Hash SHA-256 (artefatti exploit / PoC)

76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d (oracle_ebs_nday_exploit_poc_scattered_lapsus_retard_cl0p_hunters.zip)
aa0d3859d6633b62bccfb69017d33a8979a3be1f3f0a5a4bf6960d6c73d41121 (.../exp.py)
6fd538e4a8e3493dda6f9fcdc96e814bdd14f3e2ef8aa46f0143bff34b882c1b (.../server.py)

Versioni interessate (ripetuto per enfasi)

Oracle E-Business Suite 12.2.3 — 12.2.14. 🔁

Regole di rilevamento e correlazione ad alta priorità (punti di partenza pratici)

TL;DR Il repository GitHub contiene artefatti di rilevamento passivo per CVE-2025-61882 (RCE pre-auth Oracle E-Business Suite). Usali per cacciare, fare triage e contenere — non per sfruttare. 🛑🗿

Una breve Description.md (mini-README) è già stata aggiunta nella cartella detections/ — controlla quel file per il writeup completo e il TL;DR. Questo README di primo livello riassume solo il pacchetto di rilevamento e l'uso, così puoi prendere ed eseguire rapidamente.

Cosa contiene questo pacchetto

detections/splunk/
- oracle_cve61882_ioc_traffic.spl — Rileva traffico da/verso gli IP IOC forniti da Oracle.
- oracle_cve61882_uiservlet_post.spl — Rileva POST sospetti a UiServlet / /OA_HTML/ da IP esterni.
- oracle_cve61882_reverse_shell.spl — Rileva creazione di processi stile reverse shell nei log degli endpoint.
detections/elastic/
- oracle_cve61882_uiservlet_post.kql — KQL per POST a UiServlet/OA_HTML.
- oracle_cve61882_filehash_detection.kql — KQL per corrispondenza con gli SHA-256 malevoli forniti da Oracle.
detections/scripts/
- ebs_safe_hunt.py — Parser di log Python sicuro e offline (nessuna chiamata di rete, nessuna esecuzione di exploit). Eseguilo su copie dei tuoi log di accesso.
detections/Description.md
- Il mini writeup/TL;DR che hai aggiunto — contiene il contesto completo, gli IOC, le versioni interessate e le linee guida.

Avvio rapido

Rivedi detections/Description.md per contesto e IOC. ✅
Inserisci le query Splunk .spl nel tuo ambiente Splunk (oppure importale in ricerche salvate / alert).
Incolla le query KQL nelle regole di rilevamento Kibana / Elastic.
Copia ebs_safe_hunt.py su un host che ha solo accesso in lettura a log archiviati o oscurati, poi esegui:
```
python3 ebs_safe_hunt.py /path/to/access.log
```
Rivedi gli output segnalati malicious_ips, servlet_posts, shell_stager e malicious_hash ed escalada come necessario. 🕵️‍♂️

Sicurezza e regole di ingaggio

Questi artefatti sono solo strumenti di rilevamento passivo. Non eseguire PoC pubblici contro la produzione o sistemi che non possiedi/autorizzi. ⚠️
Se il rilevamento mostra compromissione confermata (corrispondenza hash file, evidenza di reverse shell o webshell), isola l'host e raccogli subito le prove forensi.

Approfondimento sugli script:

Principio: combina la divulgazione della versione o i hit sulla UI con indicatori ad alta confidenza (IP malevoli, POST a UiServlet/OA_HTML, stringhe di processo reverse shell, corrispondenze hash file, upload in uscita di grandi dimensioni).

Esempi Splunk Rileva traffico verso gli IOC Oracle:

index=web_logs OR index=proxy_logs
| where clientip IN ("200.107.207.26","185.181.60.11") OR dest_ip IN ("200.107.207.26","185.181.60.11")
| stats count by clientip, dest_ip, uri, method, useragent, _time
| sort - count

Rileva POST a UiServlet/OA_HTML da IP esterni:

index=web_logs sourcetype=access_combined
| where (uri LIKE "%UiServlet%" OR uri LIKE "%/OA_HTML/%") AND method="POST"
| where NOT cidrmatch("10.0.0.0/8", clientip)  // adjust for your internal ranges
| stats count by clientip, uri, useragent, _time
| sort - count

Rileva creazione di processi reverse shell (EDR):

index=endpoint_events sourcetype=os_process
| where process_cmdline LIKE "%/bin/bash -i%/dev/tcp/%" OR process_cmdline LIKE "%/dev/tcp//%"
| table _time host user process_name process_cmdline parent_process

Esempi Elastic / KQL POST sospetto a UiServlet:

http.request.method : "POST" and (http.request.uri : "*UiServlet*" or http.request.uri : "/OA_HTML/*") and not client.ip : ("10.0.0.0/8")

Rilevamento hash file:

event.type: "file" and file.hash.sha256 : ("76b6d36e04e3...", "aa0d3859d66...", "6fd538e4a8e3...")

Sigma (idee di regole portabili)

CVE-2025-61882-Oracle-E-Business-Suite-Pre-Auth-RCE-Exploit

Più Popolari