CVE-2025-61882 — Execução Remota de Código Não Autenticada no Oracle E-Business Suite

CVSS 9.8 CRÍTICO

Visão Geral

A CVE-2025-61882 é uma vulnerabilidade de execução remota de código não autenticada no Oracle E-Business Suite (EBS), afetando os componentes Concurrent Processing e BI Publisher. A falha permite que um atacante não autenticado com acesso à rede via HTTP comprometa completamente o sistema alvo. Ela foi explorada ativamente pelo grupo de ransomware Clop, entre outros, e foi adicionada ao catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA em outubro de 2025.

Detalhes Técnicos

A vulnerabilidade reside na forma como o Oracle EBS lida com a desserialização de dados não confiáveis nos subsistemas Concurrent Processing / BI Publisher. Ao enviar uma carga útil de objeto serializado especialmente criada para endpoints expostos, um atacante pode obter execução arbitrária de código no servidor de aplicação Oracle EBS. Nenhuma autenticação é necessária e a complexidade do ataque é baixa.

Versões Afetadas

• Oracle E-Business Suite 12.2.3 a 12.2.14
• Tanto os componentes Concurrent Processing quanto BI Publisher são afetados

Etapas de Reprodução

1. Identifique um alvo executando Oracle EBS 12.2.3–12.2.14 com BI Publisher ou Concurrent Processing exposto.