Критическая уязвимость в Oracle PeopleSoft, которую группа ShinyHunters эксплуатировала с мая, на самом деле представляет собой цепочку из трех ошибок, а не одну, сообщили на этой неделе исследователи, сообщившие о ней. Oracle устранила все три уязвимости под единым идентификатором CVE-2026-35273 в июне. Корень проблемы — подделка запросов на стороне сервера (SSRF), которая позволяет получить доступ к внутреннему интерфейсу управления, поскольку PeopleSoft по умолчанию доверяет своему собственному обратному адресу, открывая возможность для удаленного выполнения кода без входа в систему.
Детали раскрыл Бобби Гулд из Zero Day Initiative (ZDI), чья команда сообщила об уязвимости Oracle. В своем анализе ZDI заявила, что сообщила о трех отдельных уязвимостях в двух компонентах PeopleSoft и работает с Oracle над присвоением каждой отдельного CVE. На данный момент идентификатор от июня остается единственным зарегистрированным.
CVE-2026-35273 затрагивает версии PeopleSoft Enterprise PeopleTools 8.61 и 8.62, имеет оценку CVSS 9.8 и позволяет неаутентифицированному злоумышленнику захватить контроль над сервером по сети. Oracle выпустила исправление в экстренном оповещении о безопасности 10 июня. Уязвимость внесена в каталог известных эксплуатируемых уязвимостей CISA.
Злоумышленники уже использовали ее до установки исправления. Mandiant и Google Threat Intelligence Group (GTIG) приписывают кампанию группе, отслеживаемой как UNC6240, более известной как ShinyHunters, которая эксплуатировала уязвимость в период с 27 мая по 9 июня, в основном против университетов. Поскольку эта активность предшествовала уведомлению Oracle от 10 июня, она была уязвимостью нулевого дня все это время.
В сентябрьском обновлении Mandiant сообщила о возобновленной, более масштабной волне атак, которая вышла за пределы образования и затронула сферы технологий, ИТ-услуг, здравоохранения, сельского хозяйства, транспорта и государственного управления, затронув десятки систем по всему миру.
Анализ ZDI объясняет, что именно закрывает этот единый патч. Задействованы два компонента PeopleSoft, оба работают как отдельные веб-приложения. Integration Gateway (PSIGW) обменивается сообщениями с внешними системами. Environment Management Hub (PSEMHUB) — это внутренний интерфейс администратора, который должен отвечать только доверенным хостам.
Первая уязвимость — это SSRF в PSIGW. Злоумышленник отправляет запрос на его прослушивающий коннектор и контролирует как адрес, на который перенаправляется запрос, так и полный пакет данных, который он отправляет, утверждает ZDI; обработчик не проверяет, является ли пункт назначения законной целью. Само по себе это было бы ограничено, если бы не то, куда это могло привести.
PSEMHUB определяет, кому доверять, проверяя запрашивающего по списку в файле allowedhosts.properties. Этот файл поставляется с уже добавленным в список локальным адресом обратной связи 127.0.0.1. Таким образом, злоумышленник направляет SSRF на 127.0.0.1, запрос поступает так, как будто он исходит от самой машины, и проверка доверия проходит. Внутренний интерфейс, который Oracle намеревалась изолировать, теперь доступен извне.
Далее ZDI описала два способа превратить этот доступ в выполнение кода. Один из них использует команду PSEMHUB, предназначенную для записи журналов: вызывающий абонент контролирует как содержимое файла, так и точный путь на диске, поэтому злоумышленник записывает веб-шелл в каталог приложения и выполняет команды от имени учетной записи службы PeopleSoft.
Другой способ заключается в записи вредоносного XML-файла, который PSEMHUB считывает с помощью Java XMLDecoder при следующем запуске службы, тем самым выполняя код злоумышленника без необходимости внедрения веб-шелла. Второй путь оставляет меньше следов для стандартного обнаружения.
Центральное проектное решение, по словам ZDI, заключается в том, что разрешение доступа по обратному адресу по умолчанию делает проверку доверия неэффективной при наличии SSRF. Это важно для защитников, которые считали, что правило брандмауэра их защищает.
В сентябрьской волне атак Mandiant обнаружила, что ShinyHunters обходит правила межсетевого экрана веб-приложений (WAF), блокирующие путь /PSEMHUB/, путем URL-кодирования одного символа, запрашивая вместо этого /%50SEMHUB/. Многие правила WAF сопоставляют путь в открытом тексте, в то время как сервер PeopleSoft декодирует его и обслуживает страницу.
Исправление и рекомендации исходят от Oracle и Mandiant, а не из анализа ZDI, который охватывает саму уязвимость, а не реакцию на нее.
Источники не дают однозначного ответа на вопрос, устраняет ли установка патча доступ, который злоумышленник уже получил. Оповещение Oracle не затрагивает этот вопрос, а рекомендации Mandiant по ротации учетных данных и поиску веб-шелла предполагают, что это не так. Установка патча закрывает дверь; она сама по себе не выселяет того, кто уже находится внутри.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
