ჰაკერები ცდიან Oracle E-Business Suite-ის გამოსწორებულ CVE-2026-101767-ს

Defused Cyber-ის ინფორმაციით, კიბერდამნაშავეებმა დაიწყეს Oracle E-Business Suite-ის ახლად გამოსწორებული კრიტიკული სისუსტის გამოცდა. CVE-2026-101767 არის SQL ინექცია Thin Client Framework-ის სერვლეტში, რომელიც ავთენტიფიკაციის გარეშე მუშაობს და შეიძლება დისტანციური კოდის შესრულება გამოიწვიოს. Defused Cyber-მა განაცხადა, რომ მისმა Oracle E-Business Suite-ის ხაფანგებმა 27 ოქტომბერს CVE-2026-101767-ის მიმართ სადაზვერვო ექსპლოიტების მცდელობები დააფიქსირა.

რას იძლევა სისუსტე

სისუსტე Oracle E-Business Suite-ის Oracle Application Object Library-შია. Horizon3.ai-ის მკვლევარებმა Brandon Peterson-მა, Jimi Sebree-მა და Noah King-მა ის 2026 წლის 24 ივლისს აღმოაჩინეს და Oracle-ს შეატყობინეს. მოწყვლად Thin Client Framework-ის სერვლეტზე ქსელური წვდომის მქონე თავდამსხმელს შეუძლია SQL შეასრულოს APPS მონაცემთა ბაზის მომხმარებლის სახელით, შემდეგ კი OS ბრძანებები EBS აპლიკაციის ანგარიშის უფლებებით გაუშვას. სპეციალურად შექმნილი მოთხოვნა /OA_HTML/AppsTCFServer-ზე APPS-ის პრივილეგიებით SQL-ის შესრულების და EBS ანგარიშის უფლებებით სისტემური ბრძანებების გაშვების საშუალებას იძლევა. წარმატებული ექსპლუატაცია თავდამსხმელს აძლევს APPS-ისთვის ხელმისაწვდომი მონაცემების წაკითხვის ან შეცვლის და აპლიკაციის ჰოსტზე ბრძანებების გაშვების შესაძლებლობას. განლაგების მიხედვით, ეს მონაცემები შეიძლება იყოს ფინანსური, სახელფასო, HR და შესყიდვების ჩანაწერები. OS-ზე წვდომა დამოკიდებულია კომპრომეტირებული EBS ანგარიშის ნებართვებზე. ინტერნეტზე ღია განლაგებები ყველაზე მაღალ რისკს ქმნიან, თუმცა შიდა სისტემებიც შეიძლება გახდეს ექსპლუატაციის სამიზნე, თუ თავდამსხმელი მოწყვლად სერვლეტამდე კომპრომეტირებული სისტემიდან ან სხვა ხელმისაწვდომი ქსელური სეგმენტიდან მოხვდება.

გამოსწორება და დროებითი გადაწყვეტები

Oracle-მა CVE-2026-101767 გასულ კვირას Critical Patch Update-ის ფარგლებში გამოსწორა. მომხმარებლებს უახლეს ვერსიამდე რაც შეიძლება მალე განახლებას ურჩევენ. თუ დაუყოვნებელი გამოსწორება შეუძლებელია, Horizon3.ai-ის დროებითი ზომებია: /OA_HTML/AppsTCFServer-ის, რომელიც oracle.apps.fnd.tcf.SocketServer-ს უკავშირდება, მოცილება EBS URL firewall-ის ნებადართული სიიდან; EBS web tier-ზე წვდომის შეზღუდვა სანდო ქსელებით; EBS აპლიკაციის ჰოსტისა და მონაცემთა ბაზის მონიტორინგი კომპრომეტაციის ნიშნებზე.

კომპრომეტაციის ინდიკატორები

Horizon3.ai-მა კომპრომეტაციის ინდიკატორები გააზიარა. მათ შორისაა ავთენტიფიკაციის გარეშე POST მოთხოვნები /OA_HTML/AppsTCFServer-ზე, რომლებიც ქმნიან Gantt მონაცემთა სერვერის კლასს oracle.apps.jtf.gantt.server.GanttDataServer, და შემდგომი აქტივობა ბექენდ მონაცემთა ბაზაში. ასევე SQL-ის დაზვერვა ავთენტიფიკაციის გარეშე ვებ მოთხოვნებიდან მალევე, მაგალითად მონაცემთა ბაზის ვერსიის, მიმდინარე მომხმარებლისა და დირექტორიის ობიექტების შემოწმება. კიდევ ერთი ინდიკატორია მოულოდნელი ფაილები $APPLPTMP-ში და oracle ანგარიშის მიერ /bin/sh-ის გაშვება Concurrent Manager-ის მეშვეობით OS ბრძანებების შესასრულებლად.

ადრინდელი EBS სისუსტეები

EBS-ის სისუსტეები თავდამსხმელებისთვის მიმზიდველი სამიზნეა. გასული წლის განმავლობაში იმავე პროდუქტის ორი კრიტიკული სისუსტე, CVE-2025-61882 და CVE-2026-46817, ორივე CVSS 9,8 ქულით, აქტიურად ექსპლუატირდებოდა. პირველი Cl0p-ის გამოსასყიდი პროგრამებისა და გამოძალვის ჯგუფმა გამოიყენა.

წყაროები: The Hacker News