jrexploit/blackash-cve-2025-61884Fornece um resumo detalhado e orientações de detecção para o CVE-2025-61884, uma vulnerabilidade de divulgação de dados não autenticada no Configurator do Oracle E-Business Suite, incluindo modelos de varredura e etapas de mitigação.
| Campo | Detalhes |
|---|
| Identificador | CVE-2025-61884 |
| Produto | Oracle E-Business Suite — Oracle Configurator (Runtime UI) |
| Versões afetadas | 12.2.3 → 12.2.14 |
| Vetor de ataque | Rede (HTTP) — acesso não autenticado |
| Impacto | Confidencialidade (divulgação não autorizada de dados) |
| Pontuação base CVSSv3.1 | 7.5 (Alta) — AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N |
| Complexidade do exploit | Baixa / facilmente explorável (nenhuma autenticação necessária) |
| Status do fornecedor | Alerta de segurança publicado; patches/atualizações do fornecedor disponíveis |
| Status do exploit público | Modelos de detecção e regras de varredura publicados; código de exploit armamentizado amplamente acessível não confirmado em larga escala (mas o risco é alto devido à natureza sem autenticação) |
Um atacante remoto não autenticado que consiga acessar o Runtime UI do Oracle Configurator via HTTP pode criar requisições que fazem a interface retornar dados de configuração e de negócios que deveriam estar protegidos. Nenhuma credencial de usuário é necessária para acionar a divulgação, portanto, qualquer instância do componente vulnerável acessível pela rede pode ser sondada e potencialmente ter dados exfiltrados.
Nota: descrições públicas classificam o impacto principal como confidencialidade/divulgação de dados. Não há relatos públicos confirmados de execução remota de código (RCE) ou modificação de dados especificamente ligados a este CVE no momento deste resumo, mas a exposição de dados por si só já é grave.
| Tipo | O que procurar |
|---|---|
| Rede | Requisições HTTP não autenticadas inesperadas para endpoints do Runtime UI do Configurator a partir de IPs externos |
| Logs do servidor | Requisições retornando páginas de configuração ou grandes volumes de dados de configuração sem tokens de autenticação prévios |
| Evidência de varredura | Padrões de sondagem repetidos típicos de scanners automatizados (requisições sequenciais para páginas da UI, user agents idênticos, varredura rápida) |
| Saída do scanner | Resultados de ferramentas de detecção Nuclei / outras que sinalizam a presença de respostas da UI do Configurator do EBS |
Imediato (maior prioridade)
Se você não puder aplicar o patch imediatamente 2. Bloqueie o acesso de rede ao Runtime UI do Oracle Configurator a partir de redes não confiáveis — use firewalls, ACLs ou segmentação de rede para restringir o acesso a IPs administrativos confiáveis ou somente via VPN. 3. Coloque o endpoint atrás de um WAF e adicione regras para descartar ou desafiar requisições não autenticadas suspeitas aos caminhos da UI do Configurator. 4. Desative o Runtime UI se ele não for necessário no seu ambiente, ou remova/desinstale o componente do Configurator quando viável.
Monitoramento e validação 5. Execute varreduras no seu perímetro e DMZ com modelos de detecção atualizados para identificar endpoints expostos. 6. Aumente o registro de logs e alertas nos endpoints web do EBS; procure por acessos não autenticados passados e grandes respostas de dados. 7. Re-execute a varredura após o patch para validar a remediação e revise os logs para atividades na janela vulnerável.
Precauções pós-incidente 8. Rotacione quaisquer credenciais ou segredos que possam ter sido armazenados em itens de configuração expostos como medida de precaução adicional. 9. Documente as descobertas e siga seu playbook de resposta a incidentes se qualquer exposição de dados for confirmada.
Qual você gostaria? ✨
