Хакери досліджують виправлену вразливість Oracle E-Business Suite CVE-2026-101767

Згідно з Defused Cyber, зловмисники почали досліджувати щойно виправлену критичну вразливість в Oracle E-Business Suite. Вразливість CVE-2026-101767 є неавтентифікованою SQL-ін'єкцією в сервлеті Thin Client Framework, яка може ланцюжком призвести до віддаленого виконання коду. Defused Cyber повідомила, що її приманки Oracle E-Business Suite зафіксували розвідувальні спроби експлуатації CVE-2026-101767 27 жовтня.

Що дозволяє вразливість

Вразливість міститься в Oracle Application Object Library продукту Oracle E-Business Suite. Дослідники Horizon3.ai Брендон Петерсон, Джимі Сібрі та Ноа Кінг виявили її та повідомили Oracle 24 липня 2026 року. Зловмисник із мережевим доступом до вразливого сервлета Thin Client Framework може виконувати SQL від імені користувача бази даних APPS, а потім запускати команди операційної системи від імені облікового запису застосунку EBS. Спеціально сформований запит до вразливого сервлета за адресою /OA_HTML/AppsTCFServer може виконувати SQL з привілеями APPS і вмикати виконання системних команд з привілеями облікового запису застосунку EBS. Успішна експлуатація може дозволити зловмиснику читати або змінювати дані застосунку, доступні APPS, і виконувати команди на хості застосунку. Залежно від розгортання, до вразливих даних можуть належати фінансові, зарплатні, кадрові та закупівельні записи. Доступ до операційної системи визначається правами скомпрометованого облікового запису застосунку EBS. Розгортання, доступні з інтернету, становлять найбільший ризик, але внутрішні системи також можуть бути експлуатовані, якщо зловмисник може дістатися до вразливого сервлета зі скомпрометованої системи або іншого доступного сегмента мережі.

Виправлення та тимчасові обхідні заходи

Oracle виправила CVE-2026-101767 минулого тижня в межах свого Critical Patch Update. Користувачам радять оновитися до найновішої версії якнайшвидше. Якщо негайне виправлення неможливе, Horizon3.ai перелічує обхідні заходи: видалити /OA_HTML/AppsTCFServer, пов'язаний з oracle.apps.fnd.tcf.SocketServer, зі списку дозволених URL EBS у брандмауері; обмежити доступ до вебрівня EBS довіреними мережами; і стежити за хостом застосунку EBS та базою даних на ознаки компрометації.

Індикатори компрометації

Horizon3.ai оприлюднила індикатори компрометації. Серед них є неавтентифіковані POST-запити до /OA_HTML/AppsTCFServer, що створюють екземпляр класу сервера даних Gantt oracle.apps.jtf.gantt.server.GanttDataServer, за якими йде активність серверної бази даних. Також серед них є SQL-розвідка невдовзі після неавтентифікованих вебзапитів, наприклад версія бази даних, поточний користувач і об'єкти каталогу. Ще один індикатор — неочікувані файли в $APPLPTMP і те, що обліковий запис oracle запускає /bin/sh через Concurrent Manager для виконання команд ОС.

Раніше націлені вразливості EBS

Вразливості в EBS є гарячою мішенню для зловмисників. За минулий рік дві критичні вразливості в тому самому продукті, CVE-2025-61882 і CVE-2026-46817, обидві з оцінками CVSS 9.8, потрапили під активну експлуатацію. Першу з них використовувало угруповання програм-вимагачів і вимагання Cl0p.

Джерела: The Hacker News