PT-2025-41705 · Oracle · Oracle Configurator
Publicado
2025-10-11
·
Atualizado
2026-03-09
·
CVE-2025-61884
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Oracle E-Business Suite versões 12.2.3 a 12.2.14
Descrição
Existe uma vulnerabilidade explorável remotamente no componente Oracle Configurator do Oracle E-Business Suite. Esta falha permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Oracle Configurator. A exploração bem-sucedida pode levar ao acesso não autorizado a dados críticos ou à exposição completa de todos os dados acessíveis via Oracle Configurator. Esta vulnerabilidade está sendo ativamente explorada no ambiente real, com atores de ameaça, incluindo aqueles vinculados ao grupo de ransomware Cl0p e ao ShinyHunters, utilizando-a para fins maliciosos. Relatórios indicam que mais de 18.000 instâncias estão expostas globalmente, com uma concentração significativa nos EUA, na China e na Índia. A exploração foi observada em violações de dados, como o incidente que afetou The Washington Post, onde dados pessoais e financeiros de aproximadamente 10.000 indivíduos foram comprometidos. A vulnerabilidade é uma falha de Falsificação de Solicitação do Lado do Servidor (SSRF).
Recomendações
Aplique as atualizações de segurança fornecidas pela Oracle o mais rápido possível para todas as versões afetadas.
Exploit
Correção
RCE
HTTP Request/Response Smuggling
Improper Authorization
Improper Authentication
SSRF
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Oracle Configurator