27 października firma Defused poinformowała o pierwszych prób wykorzystania krytycznej podatności CVE-2026-101767 w Oracle E-Business Suite. Luka, oceniona na 9,8 w skali CVSS, dotyczy wersji od 12.2.3 do 12.2.15 i pozwala niezalogowanemu atakującemu wykonywać polecenia w bazie danych. Oracle wydał poprawkę 20 października w ramach październikowej aktualizacji Critical Patch Update, więc wielu administratorów może jeszcze nie zdążyć jej wdrożyć.
Na czym polega błąd
Problem to klasyczny SQL injection w serwlecie Thin Client Framework, dostępnym pod adresem /OA_HTML/AppsTCFServer, w komponencie Application Object Library. Wystarczy dostęp do aplikacji przez HTTP lub HTTPS, nie są potrzebne ani hasło, ani kliknięcie przez ofiarę. Spreparowane żądanie wykonuje polecenia w bazie z uprawnieniami użytkownika APPS, a według badaczy z Horizon3.ai, którzy zgłosili błąd Oracle’owi w lipcu, da się to połączyć z uruchamianiem komend systemowych na koncie aplikacji.
Oracle EBS to system klasy ERP, w którym firmy przechowują księgowość, płace, dane HR i zamówienia. Przejęcie bazy oznacza więc dostęp do bardzo wrażliwych informacji, a także możliwość ich modyfikacji. Nie bez powodu EBS był już wcześniej celem kampanii wymuszeń prowadzonych przez grupy ransomware.
Czy to już realne ataki
Na razie mowa o „eksploracyjnych” próbach zaobserwowanych na systemach-pułapkach (honeypotach). Nie ma potwierdzenia skutecznych włamań do systemów klientów ani wskazania, kto za tym stoi. Doświadczenie z podobnymi lukami pokazuje jednak, że od pierwszych skanów do masowej automatyzacji mija zwykle bardzo mało czasu.
Co zrobić
Przede wszystkim jak najszybciej zainstalować październikowe poprawki Oracle. Jeśli nie jest to możliwe od razu, warto usunąć wspomniany serwlet z listy dozwolonych w EBS URL Firewall (domyślnie jest dozwolony) i ograniczyć dostęp do aplikacji do zaufanych sieci, najlepiej przez VPN. Trzeba też przejrzeć logi pod kątem nieautoryzowanych żądań POST do GanttDataServer, nietypowych plików w katalogu $APPLPTMP oraz uruchamiania powłoki /bin/sh przez konto oracle w Concurrent Manager.
Podsumowanie
Systemy ERP wystawione do internetu to wciąż łakomy cel, bo jedno włamanie daje dostęp do całej firmy. Aplikacji tej klasy nie powinno się publikować bez dodatkowej warstwy ochrony, a cykl aktualizacji powinien być liczony w dniach, nie miesiącach.
źródło: https://cybersecuritynews.com/oracle-ebs-rce-exploited/