Saldırganlar, Yamalanmış Oracle E-Business Suite Açığını (CVE-2026-101767) Yokluyor

Defused Cyber'a göre tehdit aktörleri, Oracle E-Business Suite içinde yeni yamalanmış kritik bir güvenlik açığını yoklamaya başladı. CVE-2026-101767 numaralı açık, uzaktan kod çalıştırmaya zincirlenebilen Thin Client Framework servlet'inde kimlik doğrulamasız bir SQL enjeksiyonu. Defused Cyber, Oracle E-Business Suite tuzaklarının 27 Ekim'de CVE-2026-101767'ye yönelik keşif amaçlı istismar girişimlerini kaydettiğini söyledi.

Bu açık neye izin verir

Güvenlik açığı, Oracle E-Business Suite içindeki Oracle Application Object Library'de yer alıyor. Horizon3.ai araştırmacıları Brandon Peterson, Jimi Sebree ve Noah King, açığı 24 Temmuz 2026'da keşfedip Oracle'a bildirdi. Etkilenen Thin Client Framework servlet'ine ağ erişimi olan bir saldırgan, SQL'i APPS veritabanı kullanıcısı olarak çalıştırabilir, ardından işletim sistemi komutlarını EBS uygulama hesabı olarak çalıştırabilir. /OA_HTML/AppsTCFServer adresindeki savunmasız servlet'e yönelik hazırlanmış bir istek, APPS ayrıcalıklarıyla SQL çalıştırabilir ve EBS uygulama hesabı ayrıcalıklarıyla sistem komutu çalıştırmayı etkinleştirebilir. Başarılı istismar, bir saldırganın APPS tarafından erişilebilen uygulama verilerini okumasına veya değiştirmesine ve uygulama sunucusunda komut çalıştırmasına izin verebilir. Dağıtıma bağlı olarak etkilenen veriler finans, bordro, İK ve satın alma kayıtlarını içerebilir. İşletim sistemi erişimi, ele geçirilen EBS uygulama hesabının izinleriyle sınırlıdır. İnternet'e açık dağıtımlar en yüksek riski taşır, ancak bir saldırgan ele geçirilmiş bir sistemden veya erişilebilir başka bir ağ segmentinden savunmasız servlet'e ulaşabiliyorsa dahili sistemler de istismar edilebilir.

Yama ve geçici çözümler

Oracle, CVE-2026-101767'yi Kritik Yama Güncellemesi'nin bir parçası olarak geçen hafta yamaladı. Kullanıcıların en kısa sürede en güncel sürüme güncellemesi önerilir. Acil yama uygulama seçeneği yoksa Horizon3.ai şu geçici çözümleri listeler: /OA_HTML/AppsTCFServer yolunu (oracle.apps.fnd.tcf.SocketServer ile ilişkili) EBS URL güvenlik duvarı izin listesinden kaldırın; EBS web katmanına erişimi güvenilir ağlarla sınırlayın; ve uzlaşma belirtileri için EBS uygulama sunucusunu ve veritabanını izleyin.

Uzlaşma göstergeleri

Horizon3.ai uzlaşma göstergelerini paylaştı. Bunlar arasında /OA_HTML/AppsTCFServer adresine gönderilen ve Gantt veri sunucusu sınıfı oracle.apps.jtf.gantt.server.GanttDataServer örneğini oluşturan kimlik doğrulamasız POST istekleri ve bunları izleyen arka uç veritabanı etkinliği yer alır. Ayrıca kimlik doğrulamasız web isteklerinden kısa süre sonra veritabanı sürümü, geçerli kullanıcı ve dizin nesneleri gibi SQL keşif etkinlikleri de bulunur. Başka bir gösterge ise $APPLPTMP içinde beklenmeyen dosyalar ve Concurrent Manager aracılığıyla işletim sistemi komutları çalıştırmak için /bin/sh oluşturan oracle hesabıdır.

Daha önce hedef alınan EBS açıkları

EBS içindeki güvenlik açıkları saldırganlar için cazip bir hedef oluyor. Son bir yıl içinde aynı üründe yer alan ve CVSS puanları 9,8 olan iki kritik açık, CVE-2025-61882 ve CVE-2026-46817, aktif olarak istismar edilmeye başladı. İkisinden ilki Cl0p fidye yazılımı ve gasp ekibi tarafından kullanıldı.

Kaynaklar: The Hacker News