- CVE-2025-61882 memungkinkan eksekusi kode jarak jauh yang tidak diautentikasi terhadap Oracle E‑Business Suite.
- Rilis yang terpengaruh mencakup versi 12.2.3 hingga 12.2.14; Oracle mengeluarkan peringatan keamanan dan patch di luar band.
- Serangan dunia nyata menggabungkan SSRF, injeksi header CRLF, bypass filter autentikasi, dan penyalahgunaan XSLT untuk mencapai RCE.
- Eksploitasi terkait dengan Cl0p, dengan IOC yang dibagikan oleh Oracle; pembela harus menambal dan mencari kompromi.
Setelah seminggu penuh dengan laporan dan spekulasi yang beragam, gambaran seputar CVE-2025-61882 akhirnya menjadi lebih jelas. Beberapa sumber mengkonfirmasi bahwa celah keamanan kritis di Oracle E-Business Suite sedang dieksploitasi secara aktif di lapangan, dengan penyerang mencapai eksekusi kode jarak jauh pra-otentikasi terhadap instance yang terhubung ke internet.
Yang membuat kasus ini menonjol adalah aktivitas yang diamati di lapangan bergantung pada rantai eksploitasi multi-langkah daripada satu bug tunggal, yang menggabungkan kelemahan-kelemahan kecil menjadi pengambilalihan penuh. Oracle telah merilis perbaikan darurat dan panduan, sementara tim intelijen ancaman melaporkan eksploitasi massal dan peredaran kode bukti konsep yang berfungsi.
Apa yang terpengaruh dan seberapa parah?
Pemberitahuan akhir pekan dari Oracle menyatakan bahwa CVE-2025-61882 memungkinkan penyerang jarak jauh untuk membahayakan penerapan E-Business Suite tanpa otentikasi melalui HTTP . Eksploitasi yang berhasil menyebabkan eksekusi kode jarak jauh. Versi 12.2.3 hingga 12.2.14 termasuk dalam cakupan, yang berarti potensi dampaknya sangat besar bagi organisasi yang menjalankan EBS dalam skala besar.
Oracle menggambarkan dampaknya sebagai kritis (banyak dikutip pada CVSS 9.8 ) dan mendesak pelanggan untuk segera menerapkan pembaruan yang diberikan. Laporan dari otoritas siber nasional menggemakan pernyataan vendor: permintaan yang dirancang khusus ke komponen yang terpengaruh dapat mengakibatkan kompromi sistem total tanpa interaksi pengguna yang diperlukan.
Cara kerja rantai serangan (tingkat tinggi)
Penelitian independen menjelaskan rantai eksploitasi yang menggabungkan beberapa kelemahan untuk beralih dari pijakan awal ke eksekusi kode. Secara garis besar, penyerang pertama-tama menyalahgunakan titik akhir server untuk memaksa aplikasi melakukan permintaan sisi server (SSRF) ke target pilihan mereka di dalam lingkungan korban.
Dari situ, pihak lawan memperluas kendali atas permintaan palsu menggunakan injeksi header CRLF , memanipulasi bagaimana panggilan HTTP hilir dibingkai. Dengan hati-hati menggunakan kembali sesi TCP yang sama ( HTTP keep-alive ), mereka meningkatkan keandalan dan mengurangi gangguan, dengan menambahkan langkah-langkah tambahan melalui satu koneksi.
Dengan adanya elemen-elemen dasar ini, rantai tersebut menargetkan layanan internal yang lazim dalam penerapan Oracle EBS, yang dapat dijangkau melalui permintaan yang dipalsukan. Para peneliti mengamati adanya upaya melewati filter menggunakan jalur yang dirancang khusus untuk mengakses titik akhir yang seharusnya memerlukan otentikasi.
Serangan terakhir memanfaatkan halaman yang memuat stylesheet XSL secara dinamis berdasarkan konteks permintaan. Dengan memengaruhi dari mana stylesheet tersebut diambil, penyerang dapat memaksa server untuk memproses XSLT yang tidak tepercaya , jalur yang dikenal untuk eksekusi kode di Java ketika ekstensi yang tidak aman tersedia. Secara keseluruhan, tahapan-tahapan ini berujung pada RCE pra-otentikasi terhadap sistem EBS yang terpengaruh.
Eksploitasi aktif dan aktivitas ancaman
Beberapa tim keamanan melaporkan serangan berkelanjutan yang memanfaatkan CVE‑2025‑61882. Pimpinan Mandiant mengaitkan gelombang intrusi ini dengan operasi pencurian data skala besar dan aktivitas pemerasan terkait, dengan mencatat bahwa para pelaku menggabungkan masalah EBS baru dan yang sebelumnya telah ditambal di seluruh kampanye mereka.
Peringatan Oracle mencakup indikator kompromi yang diamati selama respons insiden, seperti alamat IP dan artefak yang terlihat di lingkungan korban. Laporan terpisah menunjuk pada alat yang bocor dan skrip bersama, dan menyebutkan potensi keterlibatan afiliasi pencurian data dan ransomware yang terkenal , meskipun beberapa hubungan masih belum dikonfirmasi.
Perkiraan menunjukkan bahwa terdapat sekitar ribuan instance EBS yang dapat diakses melalui internet publik, banyak di antaranya berada di AS. Mengingat publikasi kode eksploitasi yang berfungsi dan sifat celah keamanan yang memerlukan otentikasi awal , lembaga keamanan dan vendor sama-sama memperingatkan bahwa eksploitasi kemungkinan akan meluas ke aktor tambahan.
Apa yang harus dilakukan para pembela HAM sekarang?
Prioritas utama adalah menerapkan pembaruan keamanan Oracle dan mengikuti panduan mitigasi resmi serta meninjau strategi mitigasi . Mengingat laporan eksploitasi yang meluas, organisasi harus mengantisipasi kemungkinan kerentanan dan melakukan penilaian kompromi secara proaktif bahkan jika penambalan selesai dengan cepat.
Carilah bukti aktivitas SSRF yang dijelaskan , permintaan HTTP keluar yang tidak biasa yang berasal dari server aplikasi, akses tak terduga ke layanan EBS yang terikat secara internal, dan tanda-tanda pemrosesan XSLT berbahaya . Bandingkan telemetri jaringan, log proksi terbalik, log akses EBS, dan peringatan titik akhir dengan IOC yang dibagikan oleh Oracle.
Jika memungkinkan, kurangi paparan dengan meminimalkan titik akhir EBS yang menghadap internet , menerapkan segmentasi jaringan yang ketat untuk mengisolasi layanan internal, dan memperkuat proksi terbalik untuk memblokir pola penelusuran jalur dan manipulasi header yang mencurigakan. Memperkuat visibilitas di sekitar jembatan web-ke-layanan internal sangat berharga untuk melawan serangan SSRF berantai.
Bagi penanggung jawab insiden, bersiaplah menghadapi skenario pencurian data dan penggunaan kembali kredensial . Validasi integritas komponen aplikasi EBS, tinjau tugas terjadwal dan antarmuka administrasi di luar jalur komunikasi utama, serta batasi pergerakan lateral apa pun yang berasal dari lapisan EBS.
Gambaran yang berkembang menunjukkan kerentanan RCE pra-otentikasi yang kritis terhadap versi Oracle E-Business Suite yang banyak digunakan, dengan rantai eksploitasi dunia nyata yang menggabungkan SSRF, penyelundupan permintaan melalui CRLF, bypass filter otentikasi, dan penyalahgunaan XSLT. Dengan eksploitasi yang sudah berlangsung , langkah paling efektif ke depan adalah melakukan patching dengan cepat, perburuan ancaman yang terarah, dan pembatasan jaringan yang lebih ketat di sekitar internal EBS.
