האקרים בודקים פגיעות מתוקנת ב-Oracle E-Business Suite CVE-2026-101767

שחקני איום החלו לבדוק פגיעות קריטית שזה עתה תוקנה ב-Oracle E-Business Suite, לפי Defused Cyber. הפגיעות, CVE-2026-101767, היא הזרקת SQL ללא אימות ב-servlet של Thin Client Framework שיכולה להשתלב לביצוע קוד מרחוק. Defused Cyber מסרה שהפיתיונות שלה ל-Oracle E-Business Suite תיעדו ניסיונות ניצול חקרניים נגד CVE-2026-101767 ב-27 באוקטובר.

מה הפגיעות מאפשרת

הפגיעות נמצאת ב-Oracle Application Object Library של Oracle E-Business Suite. חוקרי Horizon3.ai Brandon Peterson, Jimi Sebree ו-Noah King גילו אותה ודיווחו עליה ל-Oracle ב-24 ביולי 2026. תוקף עם גישה לרשת ל-servlet הפגיע של Thin Client Framework יכול להריץ SQL כמשתמש מסד הנתונים APPS, ואז להריץ פקודות מערכת הפעלה כחשבון היישום EBS. בקשה מהונדסת ל-servlet הפגיע בכתובת /OA_HTML/AppsTCFServer יכולה להריץ SQL בהרשאות APPS ולאפשר ביצוע פקודות מערכת בהרשאות חשבון היישום EBS. ניצול מוצלח יכול לאפשר לתוקף לקרוא או לשנות נתוני יישום הנגישים ל-APPS ולהריץ פקודות במארח היישום. בהתאם לפריסה, הנתונים המושפעים עשויים לכלול רשומות פיננסיות, שכר, משאבי אנוש ורכש. הגישה למערכת ההפעלה נקבעת לפי ההרשאות של חשבון היישום EBS שנפגע. פריסות הפונות לאינטרנט מהוות את הסיכון הרב ביותר, אך מערכות פנימיות יכולות גם הן להיות מנוצלות אם תוקף יכול להגיע ל-servlet הפגיע ממערכת שנפגעה או מקטע רשת נגיש אחר.

תיקון ופתרונות עקיפה זמניים

Oracle תיקנה את CVE-2026-101767 בשבוע שעבר במסגרת Critical Patch Update שלה. מומלץ למשתמשים לעדכן לגרסה האחרונה בהקדם האפשרי. אם תיקון מיידי אינו אפשרות, Horizon3.ai מפרטת פתרונות עקיפה: להסיר את /OA_HTML/AppsTCFServer, המשויך ל-oracle.apps.fnd.tcf.SocketServer, מרשימת ההיתרים של חומת האש של כתובות EBS; להגביל גישה לשכבת האינטרנט של EBS לרשתות מהימנות; ולנטר את מארח היישום EBS ואת מסד הנתונים לאיתור סימני פגיעה.

אינדיקטורים לפשרה

Horizon3.ai שיתפה אינדיקטורים לפשרה. הם כוללים בקשות POST ללא אימות ל-/OA_HTML/AppsTCFServer שמכינות מופע של מחלקת שרת הנתונים Gantt בשם oracle.apps.jtf.gantt.server.GanttDataServer, ולאחריהן פעילות מסד נתונים בצד האחורי. הם כוללים גם סיור SQL זמן קצר לאחר בקשות אינטרנט ללא אימות, כגון גרסת מסד נתונים, משתמש נוכחי ואובייקטי ספריות. אינדיקטור נוסף הוא קבצים לא צפויים ב-$APPLPTMP וחשבון oracle שמפעיל /bin/sh דרך Concurrent Manager כדי להריץ פקודות מערכת הפעלה.

פגיעויות EBS קודמות שהיו מטרה

פגיעויות ב-EBS הן יעד חם לתוקפים. במהלך השנה האחרונה, שתי פגיעויות קריטיות באותו מוצר, CVE-2025-61882 ו-CVE-2026-46817, שתיהן עם ציוני CVSS של 9.8, עברו ניצול פעיל. הראשונה נוצלה על ידי כנופיית הכופר והסחיטה Cl0p.

מקורות: The Hacker News