اوراکل پایان ماه آگاهی از امنیت سایبری را با مشکلات چهارگانه جشن گرفت

مهاجمان در حال بررسی یک آسیب‌پذیری حیاتی Oracle E-Business Suite هستند که می‌تواند منجر به اجرای کد از راه دور (RCE) شود، علی‌رغم اینکه اوراکل وصله‌ای در اوایل ماه جاری منتشر کرد.

در همین حال، تجزیه و تحلیل جدید نشان می دهد که Oracle PeopleSoft zero-day که در اوایل ماه می توسط ShinyHunters مورد سوء استفاده قرار گرفت، شامل سه آسیب پذیری مجزا است که می توانند برای رسیدن به RCE ترکیب شوند. پچ کردن به تنهایی ممکن است مهاجمان را از سیستم های در معرض خطر حذف نکند، به خصوص اگر پوسته های وب را نصب کرده باشند.

اول: CVE-2026-101767، یک اشکال تزریق SQL غیرقابل تایید در Oracle EBS که می تواند منجر به RCE شود.

امروز صبح، 27 اکتبر، در پستی در سایبر X می‌گوید: «سوئیت‌های کسب‌وکار الکترونیکی Oracle ما، سوءاستفاده‌های اکتشافی را علیه CVE-2026-101767، یک تزریق SQL تأیید نشده در سرور Thin Client Framework EBS که به اجرای کد از راه دور متصل می‌شود، ضبط کرده است».

محققان Horizon3 این باگ را پیدا کردند و برای اوراکل فاش کردند و فروشنده این مشکل را در نسخه اکتبر آن اصلاح کرد.

Horizon3 در آن زمان توضیح داد: "یک مهاجم می تواند یک درخواست دستکاری شده به سرور آسیب پذیر برای اجرای SQL با امتیازات کاربر پایگاه داده APPS ارسال کند." "زنجیره حمله همچنین اجرای فرمان سیستم عامل را با امتیازات حساب برنامه EBS امکان پذیر می کند."

این بدان معناست که یک کاربر غیرمجاز می تواند داده های برنامه قابل دسترسی به APPS را تغییر دهد و دستورات را اجرا کند. شکارچیان اشکال گفتند: "بسته به استقرار، داده های تحت تاثیر ممکن است شامل سوابق مالی، حقوق و دستمزد، منابع انسانی و تدارکات باشد."

رجیستر با سؤالات متعددی برای این داستان - از جمله اینکه آیا هرگونه بهره برداری موفقیت آمیز از CVE-2026-101767 را مستند کرده است یا خیر - با اوراکل تماس گرفت و پاسخی فوری دریافت نکرد.

حرکت به سمت شکست PeopleSoft-ShinyHunters: TrendAI’s Zero Day Initiative (ZDI) مشکلات PeopleSoft را در 10 ژوئن پیدا کرد و گزارش کرد، و Oracle یک پچ تحت یک شناسه آسیب پذیری: CVE-2026-35273 منتشر کرد.

در اوایل ژوئن، ShinyHunters به ​​The Reg گفت که این گروه بیش از 100 سازمان را از طریق Oracle PeopleSoft zero-day، CVE-2026-35273 هک کرده است.

بخش مشاوره و پاسخ به حوادث Google، Mandiant، بعدا تأیید کرد که خدمه سرقت اطلاعات و اخاذی از CVE-2026-35273 به عنوان روز صفر، عمدتا علیه مدارس و بخش آموزش، سوء استفاده کردند.

با این حال، در اواخر سپتامبر، Mandiant گفت که ShinyHunters به ​​طور گسترده هدف‌گیری خود را گسترش داده است، "با استقرار پوسته‌های وب در ده‌ها سیستم در سراسر جهان، شامل آموزش عالی، فناوری، خدمات فناوری اطلاعات، مراقبت‌های بهداشتی، کشاورزی، حمل‌ونقل و دولت."

به گفته بابی گولد شکارچی اشکال ZDI، در واقع سه آسیب‌پذیری متمایز در چندین مؤلفه PeopleSoft وجود دارد و هر کدام باید شناسه CVE خود را دریافت کنند تا اینکه تحت CVE-2026-35273 گروه‌بندی شوند.

گولد، همراه با محققان TrendAI، Minh Giang و Lucas Miller، ابتدا سه باگ متمایز را در ژوئن به اوراکل پیدا کردند و گزارش دادند. او در وبلاگ سه‌شنبه‌ای گفت: «ما در حال هماهنگی با اوراکل هستیم تا CVE‌های جداگانه برای هر شماره اختصاص دهیم.

اولین مشکل یک آسیب پذیری Server-Side Request Forgery (SSRF) در PeopleSoft Integration Gateway (PSIGW) است که به مهاجمان جای پایی در برنامه PeopleSoft می دهد. در ماه ژوئن، اوراکل یک روش "validateClient" را معرفی کرد تا به مدیران سیستم PeopleSoft اجازه دهد دسترسی به عملکردهای خاصی را محدود کنند. گولد نوشت، با این حال، باگ SSRF به مجرمان اجازه می‌دهد تا درخواست‌هایی را ارائه دهند که الزامات اعتبارسنجی برای دسترسی به نقاط پایانی آسیب‌پذیر در برابر RCE را برآورده می‌کنند.

او با اشاره به PeopleSoft Environment Management Hub (PSEMHUB) گفت: «در حالی که این راه‌حل دسترسی را محدود می‌کند، مهاجم در هر میزبان قابل اعتماد همچنان می‌تواند به PSEMHUB دسترسی پیدا کند. از آنجایی که Oracle به طور پیش‌فرض به لوکال هاست اجازه می‌دهد، PSIGW SSRF دقیقا همین دسترسی را فراهم می‌کند.

باگ دوم یک کنترل خارجی آسیب‌پذیری مسیر فایل در کنترل‌کننده ExecuteProcessActivityCommand PSEMHUB است. این کنترل کننده پیام به گونه ای طراحی شده است که به مشتریان راه دور اجازه می دهد تا ورودی های گزارش را در سیستم فایل سرور PeopleSoft بنویسند - اما درخواست ها را به درستی تأیید نمی کند، که به مهاجم اجازه می دهد یک پوسته وب را در مسیر فایل بنویسد و به RCE برسد.

سومین آسیب‌پذیری، همچنین در PSEMHUB، یک سری‌زدایی از نقص داده‌های غیرقابل اعتماد است. مهاجم می‌تواند از آسیب‌پذیری نوشتن فایل استفاده کند تا یک فایل XML مخرب را در دایرکتوری PeopleSoft قرار دهد که داده‌های پیکربندی محیط را ذخیره می‌کند، سپس منتظر بماند تا PSEMHUB مقداردهی اولیه شود، مثلا پس از راه‌اندازی مجدد سرویس یا سیستم. این امر باعث می‌شود که فایل XML مخرب از سریال خارج شود، و به طور بالقوه به مهاجم اجازه می‌دهد به RCE دست یابد.

گولد هشدار داد: "مهاجمین می توانند این آسیب پذیری ها را برای به خطر انداختن نمونه های آسیب دیده PeopleSoft ترکیب کنند."