CVE-2025-61882-POC

Эксплойт для CVE-2025-61882 — критическая RCE-уязвимость до аутентификации в Oracle E-Business Suite. Сочетает SSRF, CRLF-инъекцию, HTTP-смагглинг и XSLT-инъекцию для удалённого выполнения кода без аутентификации.

📋 Обзор

Инструмент для тестирования безопасности для CVE-2025-61882, критической уязвимости удалённого выполнения кода без аутентификации, затрагивающей Oracle E-Business Suite.

Автор: Mindflare

Детали уязвимости

• CVE ID: CVE-2025-61882
• Оценка CVSS: 9.8 (Критическая)
• Вектор атаки: Сеть (без аутентификации)
• Сложность атаки: Средняя
• Требуемые привилегии: Нет
• Взаимодействие с пользователем: Нет
• Затронутые версии: Oracle E-Business Suite 12.2.3 – 12.2.14
• Статус патча: Экстренный патч выпущен 4 октября 2025 года
• Статус эксплуатации: ⚠️ АКТИВНО ЭКСПЛУАТИРУЕТСЯ программой-вымогателем Cl0p с августа 2025 года

Техническое резюме

CVE-2025-61882 — это сложная эксплойт-цепочка, объединяющая пять отдельных уязвимостей:

1. SSRF — Подделка серверных запросов (Server-Side Request Forgery) через /OA_HTML/configurator/UiServlet
2. CRLF-инъекция — внедрение HTTP-заголовков в параметр return_url
3. HTTP-смагглинг — злоупотребление keep-alive соединением для доступа к внутренним сервисам (порт 7201)
4. Обход аутентификации — обход пути через префикс /OA_HTML/help/../
5. XSLT-инъекция — обработка вредоносного XSL-шаблона приводит к RCE

🎯 Предполагаемые сценарии использования

✅ Допустимое использование

• Авторизованное тестирование на проникновение с письменного разрешения
• Исследование безопасности систем, которыми вы владеете
• Проверка уязвимостей в контролируемых лабораторных средах
• Red team упражнения с надлежащей документацией по объёму работ
• Академические исследования с одобрения учреждения
• Реагирование на инциденты и криминалистический анализ

❌ Запрещённое использование

• Любой несанкционированный доступ к системам
• Тестирование систем без явного письменного разрешения
• Вредоносные действия или причинение ущерба
• Атаки на производственные системы без одобрения
• Использование в преступных целях
• Любая деятельность, нарушающая действующее законодательство

📦 Установка

Предварительные требования

• Python 3.7 или выше
• Менеджер пакетов pip
• Сетевое подключение к цели (только авторизованное)
• Netcat или аналогичный прослушиватель для получения обратной оболочки

Настройка

🚀 Использование

Шаг 1: Настройка прослушивателя

В отдельном терминале запустите netcat-прослушиватель:

Шаг 2: Запуск инструмента

Базовое использование (цель Linux):

Цель Windows:

Параметры

📊 Пример вывода

Вывод инструмента

Вывод netcat-прослушивателя (если уязвим)

🛡️ Обнаружение и защита

Для специалистов по безопасности

Немедленные действия

1. Примените экстренный патч Oracle (ID документа: 30061882.1)
2. Ищите признаки компрометации:
   root@kitploit:~

   SELECT * FROM XDO_TEMPLATES_B 
   WHERE TEMPLATE_CODE LIKE 'TMP%' OR TEMPLATE_CODE LIKE 'DEF%';
   

3. Просмотрите журналы доступа с августа 2025 года
4. Заблокируйте исходящий интернет с серверов EBS

Индикаторы обнаружения

Сетевые IOC:

HTTP-паттерны:

• POST /OA_HTML/configurator/UiServlet
• POST /OA_HTML/SyncServlet
• GET /OA_HTML/help/../*.jsp
• CRLF-символы в параметрах

📚 Ссылки

• Консультационное сообщение Oracle Security Alert
• Каталог CISA KEV
• Анализ Google/Mandiant
• Исследование watchTowr Labs

📜 Лицензия

Лицензия MIT с ограничениями на образовательное использование — см. LICENSE

ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Данное программное обеспечение предназначено только для авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам незаконен. Автор не несёт ответственности за неправомерное использование.