CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2025-61882

Pominięcie uwierzytelnienia w Oracle Concurrent Processing (E-Business Suite)

CVSS 9.8v3.1pub. 2025-10-05upd. 2025-10-27

Podatność klasy Auth Bypass w komponencie BI Publisher Integration produktu Oracle Concurrent Processing (Oracle E-Business Suite) umożliwia nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad systemem przez sieć HTTP. Ocena CVSS 9.8 (CRITICAL) oraz aktywne exploitowanie czynią tę podatność zagrożeniem wymagającym natychmiastowej reakcji.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Concurrent Processing product of Oracle E-Business Suite (component: BI Publisher Integration). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Concurrent Processing. Successful attacks of this vulnerability can result in takeover of Oracle Concurrent Processing. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej weryfikacji tożsamości (CWE-287 — Improper Authentication) w komponencie integracji BI Publisher. Atakujący z dostępem sieciowym do interfejsu HTTP może ominąć mechanizmy uwierzytelnienia bez posiadania jakichkolwiek poświadczeń i bez interakcji ze strony użytkownika. Niska złożoność ataku (AC:L) oraz brak wymaganych uprawnień (PR:N) sprawiają, że exploit może być przeprowadzony w sposób w pełni zautomatyzowany.

Skutki

Skuteczny atak prowadzi do całkowitego przejęcia Oracle Concurrent Processing, obejmującego pełne naruszenie poufności, integralności i dostępności systemu, a także potencjalną możliwość wywołania odmowy usługi (DoS).

Mitygacja

Należy niezwłocznie zastosować łatę dostarczoną przez Oracle w ramach July 2025 Critical Patch Update (CPU). Szczegółowe informacje o dostępnych patchach znajdują się pod adresem: https://www.oracle.com/security-alerts/alert-cve-2025-61882.html oraz https://blogs.oracle.com/security/post/apply-july-2025-cpu. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do interfejsu HTTP komponentu BI Publisher Integration wyłącznie do zaufanych hostów.

Kogo dotyczy

Oracle E-Business Suite — produkt Oracle Concurrent Processing (komponent: BI Publisher Integration) w wersjach 12.2.3 do 12.2.14 włącznie.

Uwagi

Podatność została opublikowana 2025-10-05. Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities jako aktywnie exploitowana. Firma CrowdStrike opublikowała analizę kampanii atakującej Oracle E-Business Suite z wykorzystaniem tej podatności (link w referencjach).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Oracle Concurrent Processing
APP
Oracle
12.2.3 – 12.2.14

CISA KEV — szczegółyi

Dostawcai: Oracle ↗
Produkti: E-Business Suite
Data dodania do KEVi: 6 października 2025
Termin remediation (USA)i: 27 października 2025(po terminie)
Ransomwarei: Aktywne kampanie ransomware używają tej podatności

🔧Advisory Oracle↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami dostawcy, postępuj zgodnie z obowiązującymi wytycznymi BOD 22-01 dla usług chmurowych lub przerwij użytkowanie produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Oracle E-Business Suite zawiera niezidentyfikowaną lukę w komponcie BI Publisher Integration. Luka umożliwia nieupoważnionemu atakującemu z dostępem do sieci poprzez HTTP skompromitowanie Oracle Concurrent Processing. Udane ataki mogą prowadzić do przejęcia kontroli nad Oracle Concurrent Processing.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Oracle E-Business Suite contains an unspecified vulnerability in the BI Publisher Integration component. The vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Concurrent Processing. Successful attacks can result in takeover of Oracle Concurrent Processing.

🔴