jrexploit/blackash-cve-2025-61884Предоставляет подробную сводку и рекомендации по обнаружению для CVE-2025-61884 — уязвимости несанкционированного раскрытия данных в Configurator Oracle E-Business Suite, включая шаблоны сканирования и шаги по смягчению последствий.
| Поле | Детали |
|---|
| Идентификатор | CVE-2025-61884 |
| Продукт | Oracle E-Business Suite — Oracle Configurator (Runtime UI) |
| Затронутые версии | 12.2.3 → 12.2.14 |
| Вектор атаки | Сеть (HTTP) — неаутентифицированный доступ |
| Воздействие | Конфиденциальность (несанкционированное раскрытие данных) |
| Базовая оценка CVSSv3.1 | 7.5 (Высокая) — AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N |
| Сложность эксплуатации | Низкая / легко эксплуатируемая (не требуется аутентификация) |
| Статус вендора | Опубликовано предупреждение о безопасности; доступны исправления/обновления от вендора |
| Статус публичного эксплойта | Опубликованы шаблоны обнаружения и правила сканирования; широко доступный оружейный код эксплойта не подтверждён (но риск высок из-за отсутствия аутентификации) |
Неаутентифицированный удалённый злоумышленник, который может получить доступ к Runtime UI Oracle Configurator по HTTP, может создавать запросы, заставляющие интерфейс возвращать конфигурационные и бизнес-данные, которые должны быть защищены. Для запуска раскрытия не требуются учётные данные пользователя, поэтому любой доступный по сети экземпляр уязвимого компонента может быть просканирован и потенциально скомпрометирован.
Примечание: публичные описания классифицируют основное воздействие как раскрытие конфиденциальности/данных. На момент составления этой сводки нет подтверждённых публичных сообщений об удалённом выполнении кода (RCE) или изменении данных, связанных именно с этим CVE, но само по себе раскрытие данных является серьёзным.
| Тип | На что обращать внимание |
|---|---|
| Сеть | Неожиданные неаутентифицированные HTTP-запросы к конечным точкам Runtime UI Configurator с внешних IP-адресов |
| Журналы сервера | Запросы, возвращающие страницы конфигурации или большие объёмы конфигурационных данных без предварительных токенов аутентификации |
| Признаки сканирования | Повторяющиеся шаблоны зондирования, характерные для автоматизированных сканеров (последовательные запросы к страницам интерфейса, одинаковые user-agent, быстрое сканирование) |
| Вывод сканера | Результаты Nuclei / других инструментов обнаружения, которые отмечают наличие ответов интерфейса EBS Configurator |
Немедленно (наивысший приоритет)
Если вы не можете установить исправление немедленно 2. Заблокируйте сетевой доступ к Oracle Configurator Runtime UI из ненадёжных сетей — используйте межсетевые экраны, ACL или сегментацию сети, чтобы ограничить доступ доверенными IP-адресами администраторов или только через VPN. 3. Разместите конечную точку за WAF и добавьте правила для блокировки или проверки подозрительных неаутентифицированных запросов к путям интерфейса Configurator. 4. Отключите Runtime UI, если он не требуется в вашей среде, или удалите/деинсталлируйте компонент Configurator, где это возможно.
Мониторинг и проверка 5. Просканируйте ваш периметр и DMZ с помощью обновлённых шаблонов обнаружения, чтобы выявить открытые конечные точки. 6. Усильте ведение журналов и оповещения на веб-конечных точках EBS; ищите прошлые неаутентифицированные доступы и большие ответы с данными. 7. Повторно просканируйте после установки исправления, чтобы подтвердить устранение, и проверьте журналы на предмет активности в уязвимом окне.
Меры после инцидента 8. Смените любые учётные данные или секреты, которые могли храниться в раскрытых элементах конфигурации, из соображений предосторожности. 9. Задокументируйте выводы и следуйте вашему плану реагирования на инциденты, если раскрытие данных подтверждено.
Что бы вы хотели? ✨
