PT-2025-40791
CVE-2025-61882
·
تاريخ النشر
2025-10-04
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Oracle E-Business Suite الإصدارات 12.2.3 through 12.2.14
Description
توجد ثغرة تنفيذ عن بُعد للكود بدون مصادقة في مكون BI Publisher Integration الخاص بـ Oracle Concurrent Processing. تنبع المشكلة من قصور في إجراءات المصادقة والتفويض، مما يسمح للمهاجم باختراق النظام عن طريق إرسال طلبات HTTP مصاغة خصيصاً. وبشكل محدد، تستهدف عملية الاستغلال مدير قوالب XML Publisher عبر نقاط النهاية
/OA HTML/RF.jsp و /OA HTML/OA.jsp. يمكن للمهاجمين رفع قالب XSLT خبيث يقوم بتنفيذ أوامر مضمنة عند معاينته، مما يسمح بنشر shells ويب وأبواب خلفية.تم إرجاع عمليات الاستغلال في العالم الحقيقي إلى جهات تهديد تشمل Cl0p و Scattered LAPSUS$ Hunters و GRACEFUL SPIDER. ويُقدر أن أكثر من 40 منظمة قد تأكدت إصابتها، مع احتمال تأثر أكثر من 100 منظمة. ومن بين الضحايا البارزين جامعة هارفارد، وواشنطن بوست، ولوجيتيك، والخطوط الجوية الكورية. ركزت هذه الهجمات بشكل أساسي على السرقة الضخمة للبيانات المالية للشركات، والملكية الفكرية، وسجلات الموظفين لأغراض الابتزاز.
Recommendations
تطبيق تحديثات Oracle الأمنية للإصدارات 12.2.3 through 12.2.14 فوراً.
تقييد الوصول إلى نقاط النهاية
/OA HTML/RF.jsp و /OA HTML/OA.jsp لتقليل مخاطر الاستغلال.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾