Описание

Критическая уязвимость удалённого выполнения кода (RCE) до аутентификации в Oracle E-Business Suite (версии 12.2.3 - 12.2.14) позволяет злоумышленникам получить полный контроль над уязвимыми серверами с помощью вредоносных HTTP-запросов — в настоящее время активно эксплуатируется в дикой природе.

CVE-2025-61882 — Эксплойт предварительной аутентификации RCE в Oracle E-Business Suite

Критическая уязвимость удалённого выполнения кода (RCE) без предварительной аутентификации в Oracle E-Business Suite (версии 12.2.3–12.2.14) позволяет злоумышленникам получить полный контроль над уязвимыми серверами с помощью вредоносных HTTP-запросов — в настоящее время активно эксплуатируется в дикой природе.

TL;DR

CVE-2025-61882 — это критическая RCE-уязвимость без предварительной аутентификации в Oracle E-Business Suite (EBS), активно эксплуатируемая в кампаниях вымогательства и кражи данных. Затронутые версии: 12.2.3 → 12.2.14. Oracle опубликовал экстренное уведомление с IOC (IP-адреса, команда shell-stager, SHA-256 хэши). Немедленно установите патч или закройте доступ к скомпрометированным системам, проведите охоту с помощью предоставленных детектов и используйте безопасный Python-скрипт ниже для сканирования журналов. Не запускайте публичные PoC на производстве — тестируйте только в изолированной лаборатории с авторизацией. 🛑🗿

#!/usr/bin/env python3 """ ebs_safe_hunt.py — Безопасный парсер журналов для индикаторов CVE-2025-61882. Использование: python3 ebs_safe_hunt.py /path/to/access.log Примечания: - Анализирует строки комбинированного журнала Apache/Nginx. - Отмечает POST-запросы к UiServlet/OA_HTML, вредоносные IP-адреса из уведомления Oracle, паттерны shell stager и наблюдаемые SHA256 хэши. - Безопасно: без сети / без выполнения эксплойтов. """ import sys import re from collections import Counter, defaultdict # Регулярное выражение для распространённого комбинированного формата журнала LOG_PATTERN = re.compile( r'(?P<ip>\S+) \S+ \S+ \[(?P<time>.*?)\] "(?P<method>\S+) (?P<uri>\S+) \S+" (?P<status>\d{3}) (?P<size>\S+) "(?P<ref>[^"]*)" "(?P<ua>[^"]*)"' ) # IOC, предоставленные Oracle MALICIOUS_IPS = {"200.107.207.26", "185.181.60.11"} MALICIOUS_HASHES = { "76b6d36e04e367a2334c445b51e1ecce97e4c614e88dfb4f72b104ca0f31235d", "aa0d3859d6633b62bccfb69017d33a8979a3be1f3f0a5a4bf6960d6c73d41121", "6fd538e4a8e3493dda6f9fcdc96e814bdd14f3e2ef8aa46f0143bff34b882c1b", } SHELL_PATTERN = "/bin/bash -i" # ищем эту подстроку (стиль обратной оболочки) SUSPICIOUS_PATHS = ["UiServlet", "/OA_HTML/"] # Необязательно: список подозрительных user-agent, часто используемых сканерами SUSPICIOUS_UAS = ["curl", "wget", "python-requests", "nikto", "sqlmap", "masscan", "Nmap"] def analyze_log(path): ip_counts = Counter() uri_counts = Counter() ua_counts = Counter() suspicious = defaultdict(list) with open(path, "r", errors="replace") as fh: for line_no, line in enumerate(fh, 1): m = LOG_PATTERN.search(line) if not m: # При желании всё равно проверяем хэши или паттерн оболочки в неструктурированных строках if any(h in line for h in MALICIOUS_HASHES): suspicious["malicious_hash_lines"].append((line_no, line.strip())) if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_pattern_lines"].append((line_no, line.strip())) continue ip = m.group("ip") method = m.group("method") uri = m.group("uri") ua = m.group("ua") size = m.group("size") ip_counts[ip] += 1 uri_counts[uri] += 1 ua_counts[ua] += 1 # 1) Вредоносные IP-адреса (Oracle) if ip in MALICIOUS_IPS: suspicious["malicious_ips"].append((line_no, ip, method, uri, ua)) # 2) POST-запросы к подозрительным путям EBS if method.upper() == "POST" and any(p in uri for p in SUSPICIOUS_PATHS): suspicious["servlet_posts"].append((line_no, ip, uri, ua)) # 3) Подозрительные user-agent (сканеры) if any(k.lower() in ua.lower() for k in SUSPICIOUS_UAS): suspicious["suspicious_ua"].append((line_no, ip, uri, ua)) # 4) Очень большие ответы (возможная выгрузка) — настройте порог под вашу среду try: if size != "-" and int(size) > 5_000_000: # >5МБ suspicious["large_responses"].append((line_no, ip, uri, size)) except ValueError: pass # 5) Паттерн shell stager или паттерны /dev/tcp в строке if SHELL_PATTERN in line or "/dev/tcp/" in line: suspicious["shell_stager"].append((line_no, ip, uri, line.strip())) # 6) Известные вредоносные хэши файлов в журналах (если доступны) for h in MALICIOUS_HASHES: if h in line: suspicious["malicious_hash"].append((line_no, ip, uri, h)) return { "ip_counts": ip_counts, "uri_counts": uri_counts, "ua_counts": ua_counts, "suspicious": suspicious } def pretty_report(r, top=10): print("\n=== ОТЧЁТ ОБ ОХОТЕ EBS ===\n") print("Топ исходных IP-адресов:") for ip, c in r["ip_counts"].most_common(top): print(f" {ip}: {c}") print("\nТоп URI:") for uri, c in r["uri_counts"].most_common(top): print(f" {uri}: {c}") print("\nТоп User-Agent:") for ua, c in r["ua_counts"].most_common(top): print(f" {ua}: {c}") print("\nПодозрительные находки:") if not r["suspicious"]: print(" Ничего не найдено.") return for k, items in r["suspicious"].items(): print(f"\n-- {k} ({len(items)} совпадений) --") for item in items[:100]: print(" " + " | ".join(map(str, item))) if __name__ == "__main__": if len(sys.argv) != 2: print("Использование: python3 ebs_safe_hunt.py /path/to/access.log") sys.exit(1) path = sys.argv[1] result = analyze_log(path) pretty_report(result)

CVE-2025-61882-Oracle-E-Business-Suite-Pre-Auth-RCE-Exploit

Популярное

Описание

Почему это важно

Техническая сводка (кратко)

Хронология (сокращённо)

Наблюдаемое поведение атакующих (TTP)

IOC от Oracle (использовать немедленно)

Правила обнаружения и корреляции с высоким приоритетом (практические стартовые наборы)

Что в этом наборе

Быстрый старт

Безопасность и правила взаимодействия

Глубокое погружение в скрипты:

Безопасный скрипт обнаружения (Python) — используйте против журналов (без эксплойтов, без сетевых вызовов)

Немедленные меры по смягчению и сдерживанию (практические)

Брифинг для руководства (одна страница — копировать/вставить)

Заключительные примечания и предостережения

Прощальная записка