CVE-2025-61882 - Exploração de RCE Pré-Autenticação no Oracle E-Business Suite

Uma falha crítica de Execução Remota de Código (RCE) pré-autenticação no Oracle E-Business Suite (versões 12.2.3–12.2.14) permite que atacantes obtenham controle total sobre servidores vulneráveis por meio de requisições HTTP maliciosas — agora explorada ativamente na natureza.

TL;DR

CVE-2025-61882 é uma RCE crítica, pré-autenticação no Oracle E-Business Suite (EBS) explorada ativamente em campanhas de extorsão/roubo de dados. Versões afetadas: 12.2.3 → 12.2.14. A Oracle publicou um alerta de emergência com IOCs (IPs, comando de shell-stager, SHA-256s). Aplique o patch ou proteja os sistemas expostos imediatamente, busque com as detecções fornecidas e use o script Python seguro abaixo para analisar logs. Não execute PoCs públicos em produção — teste apenas em laboratório isolado com autorização. 🛑🗿

Cover

#!/usr/bin/env python3 """ ebs_safe_hunt.py — Analisador de logs seguro para indicadores do CVE-2025-61882. Uso: python3 ebs_safe_hunt.py /caminho/para/access.log Notas: - Analisa linhas de log combinado Apache/Nginx. - Sinaliza POSTs UiServlet/OA_HTML, IPs maliciosos do alerta da Oracle, padrões de shell stager e hashes SHA256 observados. - Seguro: sem rede / sem execução de exploração. """ import sys import re from collections import Counter, defaultdict # Regex para formato de log combinado comum LOG_PATTERN = re.compile( r'(?P<ip>\S+) \S+ \S+ \[(?P<time>.*?)\] "(?P<method>\S+) (?P<uri>\S+) \S+" (?P<status>\d{3}) (?P<size>\S+) "(?P<ref>[^"]*)" "(?P<ua>[^"]*)"' ) # IOCs fornecidos pela Oracle MALICIOUS_IPS = {"200.107.207.26", "185.181.60.11"} MALICIOUS_HASHES = { "76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d", "aa0d3859d6633b62bccfb69017d33a8979a3be1f3f0a5a4bf6960d6c73d41121", "6fd538e4a8e3493dda6f9fcdc96e814bdd14f3e2ef8aa46f0143bff34b882c1b", } SHELL_PATTERN = "/bin/bash -i" # procuramos por esta substring (estilo reverse shell) SUSPICIOUS_PATHS = ["UiServlet", "/OA_HTML/"] # Opcional: lista de user-agents suspeitos frequentemente usados por scanners SUSPICIOUS_UAS = ["curl", "wget", "python-requests", "nikto", "sqlmap", "masscan", "Nmap"] def analyze_log(path): ip_counts = Counter() uri_counts = Counter() ua_counts = Counter() suspicious = defaultdict(list) with open(path, "r", errors="replace") as fh: for line_no, line in enumerate(fh, 1): m = LOG_PATTERN.search(line) if not m: # Opcionalmente, ainda verifique hashes ou padrão de shell em linhas não estruturadas if any(h in line for h in MALICIOUS_HASHES): suspicious["malicious_hash_lines"].append((line_no, line.strip())) if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_pattern_lines"].append((line_no, line.strip())) continue ip = m.group("ip") method = m.group("method") uri = m.group("uri") ua = m.group("ua") size = m.group("size") ip_counts[ip] += 1 uri_counts[uri] += 1 ua_counts[ua] += 1 # 1) IPs maliciosos (Oracle) if ip in MALICIOUS_IPS: suspicious["malicious_ips"].append((line_no, ip, method, uri, ua)) # 2) POSTs para caminhos EBS suspeitos if method.upper() == "POST" and any(p in uri for p in SUSPICIOUS_PATHS): suspicious["servlet_posts"].append((line_no, ip, uri, ua)) # 3) User-agents suspeitos (scanners) if any(k.lower() in ua.lower() for k in SUSPICIOUS_UAS): suspicious["suspicious_ua"].append((line_no, ip, uri, ua)) # 4) Respostas muito grandes (possível exfiltração) — ajuste o limite para seu ambiente try: if size != "-" and int(size) > 5_000_000: # >5MB suspicious["large_responses"].append((line_no, ip, uri, size)) except ValueError: pass # 5) Padrão de shell stager ou padrões /dev/tcp na linha if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_stager"].append((line_no, ip, uri, line.strip())) # 6) Hashes de arquivos maliciosos conhecidos presentes nos logs (se disponíveis) for h in MALICIOUS_HASHES: if h in line: suspicious["malicious_hash"].append((line_no, ip, uri, h)) return { "ip_counts": ip_counts, "uri_counts": uri_counts, "ua_counts": ua_counts, "suspicious": suspicious } def pretty_report(r, top=10): print("\n=== RELATÓRIO DE BUSCA EBS ===\n") print("Principais IPs de origem:") for ip, c in r["ip_counts"].most_common(top): print(f" {ip}: {c}") print("\nPrincipais URIs:") for uri, c in r["uri_counts"].most_common(top): print(f" {uri}: {c}") print("\nPrincipais User-Agents:") for ua, c in r["ua_counts"].most_common(top): print(f" {ua}: {c}") print("\nDescobertas suspeitas:") if not r["suspicious"]: print(" Nenhuma encontrada.") return for k, items in r["suspicious"].items(): print(f"\n-- {k} ({len(items)} correspondências) --") for item in items[:100]: print(" " + " | ".join(map(str, item))) if __name__ == "__main__": if len(sys.argv) != 2: print("Uso: python3 ebs_safe_hunt.py /caminho/para/access.log") sys.exit(1) path = sys.argv[1] result = analyze_log(path) pretty_report(result)

CVE-2025-61882-Oracle-E-Business-Suite-Pre-Auth-RCE-Exploit

Mais Populares

Sobre

Por que isso importa

Resumo técnico (curto)

Linha do tempo (condensada)

Comportamento observado do atacante (TTPs)

IOCs fornecidos pela Oracle (use imediatamente)

Regras de detecção e correlação de alta prioridade (pontos de partida práticos)

O que há neste pacote

Início rápido

Segurança e regras de engajamento

Aprofundando nos Scripts:

Script de detecção seguro (Python) — use contra logs (sem explorações, sem chamadas de rede)

Checklist imediato de mitigação e contenção (prático)

Briefing para liderança (uma página — copiar/colar)

Notas finais e cuidados

Nota de despedida