Злоумышленники сканируют критическую уязвимость Oracle E-Business Suite, которая может привести к удаленному выполнению кода (RCE), несмотря на то, что Oracle выпустила исправление ранее в этом месяце.
Тем временем новый анализ показывает, что эксплойт нулевого дня Oracle PeopleSoft, использованный ShinyHunters еще в мае, включает три отдельные уязвимости, которые могут быть объединены для достижения RCE. Одно лишь исправление может не удалить злоумышленников из уже скомпрометированных систем, особенно если они установили веб-оболочки.
Первая уязвимость: CVE-2026-101767, критическая ошибка SQL-инъекции в Oracle EBS, не требующая аутентификации, которая может привести к RCE.
«Наши ловушки Oracle E-Business Suite зафиксировали разведывательные атаки на CVE-2026-101767, уязвимость SQL-инъекции в сервлете Thin Client Framework EBS, не требующую аутентификации и ведущую к удаленному выполнению кода, сегодня утром, 27 октября», — сообщил Defused Cyber в посте на X.
Исследователи Horizon3 обнаружили и сообщили об этой ошибке Oracle, а поставщик исправил проблему в своем октябрьском выпуске.
«Злоумышленник может отправить специально сформированный запрос на уязвимый сервлет для выполнения SQL с привилегиями пользователя базы данных APPS», — объяснили тогда в Horizon3. «Цепочка атак также позволяет выполнять команды операционной системы с привилегиями учетной записи приложения EBS».
Это означает, что неавторизованный пользователь может изменять данные приложения, доступные APPS, и выполнять команды. «В зависимости от развертывания, затронутые данные могут включать финансовые, расчетные, кадровые и закупочные записи», — заявили исследователи.
The Register обратился к Oracle с многочисленными вопросами для этой статьи, в том числе о том, задокументированы ли успешные случаи эксплуатации CVE-2026-101767, и не получил немедленного ответа.
Перейдем к фиаско с PeopleSoft и ShinyHunters: Zero Day Initiative (ZDI) от TrendAI обнаружила и сообщила о проблемах с PeopleSoft 10 июня, а Oracle выпустила исправление под одним идентификатором уязвимости: CVE-2026-35273.
В начале июня ShinyHunters сообщил The Reg, что группа взломала более 100 организаций с помощью нулевого дня Oracle PeopleSoft, CVE-2026-35273.
Mandiant, подразделение Google по консалтингу и реагированию на инциденты, позже подтвердило, что группа, занимающаяся кражей данных и вымогательством, использовала CVE-2026-35273 в качестве нулевого дня, в основном против школ и образовательного сектора.
Однако к концу сентября Mandiant заявила, что ShinyHunters значительно расширила свою таргетинг, «развернув веб-оболочки на десятках систем по всему миру, охватывая высшее образование, технологии, ИТ-услуги, здравоохранение, сельское хозяйство, транспорт и правительство».
По словам исследователя ZDI Бобби Гулда, на самом деле существует три отдельные уязвимости в различных компонентах PeopleSoft, и каждой должен быть присвоен собственный идентификатор CVE, а не группироваться под CVE-2026-35273.
Гулд вместе с исследователями TrendAI Минь Цзян и Лукасом Миллером изначально обнаружили и сообщили о трех различных ошибках Oracle в июне. «Мы координируем с Oracle назначение отдельных CVE для каждой проблемы», — сказал он во вторник в блоге.
Первая проблема — это уязвимость подделки запросов на стороне сервера (SSRF) в Integration Gateway (PSIGW) PeopleSoft, которая дает злоумышленникам точку опоры в приложении PeopleSoft. В июне Oracle представила метод «validateClient», чтобы позволить администраторам систем PeopleSoft ограничивать доступ к определенным функциям. Однако ошибка SSRF позволяет злоумышленникам делать запросы, удовлетворяющие требованию проверки, для доступа к конечным точкам, уязвимым для RCE, написал Гулд.
«Хотя это решение действительно ограничивает доступ, злоумышленник с любого доверенного хоста по-прежнему может получить доступ к PSEMHUB», — сказал он, имея в виду PeopleSoft Environment Management Hub (PSEMHUB). «Поскольку Oracle по умолчанию разрешает localhost, SSRF в PSIGW предоставляет именно такой доступ».
Вторая ошибка — это внешнее управление уязвимостью пути к файлу в обработчике ExecuteProcessActivityCommand PSEMHUB. Этот обработчик сообщений предназначен для того, чтобы позволить удаленным клиентам записывать записи журнала в файловую систему сервера PeopleSoft — но он не проверяет запросы должным образом, что позволяет злоумышленнику записать веб-оболочку в путь к файлу и достичь RCE.
Третья уязвимость, также в PSEMHUB, — это ошибка десериализации недоверенных данных. Злоумышленник может использовать уязвимость записи файлов для внедрения вредоносного XML-файла в каталог PeopleSoft, где хранятся данные конфигурации среды, а затем дождаться инициализации PSEMHUB, например, после перезапуска службы или системы. Это вызывает десериализацию вредоносного XML-файла, что потенциально позволяет злоумышленнику достичь RCE.
«Злоумышленники могут объединить эти уязвимости для компрометации затронутых экземпляров PeopleSoft», — предупредил Гулд.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
