(Zero-Day)Нултиот ден во Oracle PeopleSoft, искористен од ShinyHunters, се покажа дека се состои од три поврзани пропусти

Критичниот пропуст во Oracle PeopleSoft што ShinyHunters го искористува од мај не е еден, туку три меѓусебно поврзани пропусти, соопштија оваа недела истражувачите што го пријавиле.

Oracle ги поправи сите три пропусти во јуни, под еден единствен идентификатор — CVE-2026-35273. Основата на нападот е фалсификување барања од страна на серверот (SSRF), преку кое се пристапува до внатрешен интерфејс за управување, бидејќи PeopleSoft стандардно му верува на сопствениот loopback-адресен опсег. На тој начин се отвора можноста за далечинско извршување код без потреба од најавување.

Деталната анализа ја објави Боби Гулд од Zero Day Initiative (ZDI), чиј тим го пријавил пропустот кај Oracle.

Во својата анализа, ZDI наведува дека пријавила три одделни безбедносни пропусти во две компоненти на PeopleSoft и дека соработува со Oracle за секој од нив да добие посебен CVE-идентификатор. До оваа недела, единствениот евидентиран идентификатор и понатаму е оној објавен во јуни.

CVE-2026-35273 ги засега верзиите 8.61 и 8.62 на PeopleSoft Enterprise PeopleTools, има CVSS-оценка од 9,8 и му овозможува на напаѓач без автентикација да преземе целосна контрола врз серверот преку мрежата. Oracle го објави решението преку безбедносно предупредување надвор од редовниот распоред на 10 јуни. Пропустот е вклучен во каталогот на познати искористувани ранливости на CISA (Known Exploited Vulnerabilities).

Напаѓачите веќе го користеле пропустот пред да биде достапна исправката. Mandiant и Google Threat Intelligence Group (GTIG) ѝ припишуваат една кампања на групата што ја следат под ознаката UNC6240, попозната како ShinyHunters. Групата го искористувала пропустот во периодот од 27 мај до 9 јуни, главно против универзитети.

Бидејќи оваа активност се случувала пред безбедносното предупредување на Oracle од 10 јуни, пропустот во текот на целиот тој период претставувал zero-day — ранливост што се искористува пред да биде достапна соодветна безбедносна исправка.

Во дополнителен извештај од септември, Mandiant објави дека започнал нов, поголем бран напади. Тој се проширил надвор од образовниот сектор и ги опфатил технологијата, ИТ-услугите, здравството, земјоделството, транспортот и владините институции, засегајќи десетици системи ширум светот.

Анализата на ZDI објаснува што всушност поправила таа единствена безбедносна исправка. Во нападот се вклучени две компоненти на PeopleSoft, кои работат како одделни веб-апликации.

Integration Gateway (PSIGW) разменува пораки со надворешни системи. Environment Management Hub (PSEMHUB) е внатрешен административен интерфејс кој, според предвидената намена, треба да одговара само на барања од доверливи хостови.

Првиот пропуст е SSRF-ранливоста во PSIGW. Напаѓачот испраќа барање до неговиот конектор што ги прима барањата и ја контролира и адресата до која конекторот ќе го препрати барањето и целосниот пакет податоци што ќе го испрати, наведува ZDI. Обработувачот не проверува дали целната адреса е легитимна.

Сам по себе, овој пропуст би имал ограничено влијание, доколку не постоеше она до што напаѓачот може да пристапи преку него.

PSEMHUB одлучува кому да му верува така што го проверува испраќачот на барањето според список во датотека со име allowedhosts.properties. Таа датотека стандардно ја содржи локалната loopback-адреса 127.0.0.1. Затоа, напаѓачот го насочува SSRF-барањето кон 127.0.0.1, барањето пристигнува така што изгледа како да потекнува од самиот компјутер и проверката на довербата е успешна. Така, внатрешниот интерфејс што Oracle имал намера да го изолира станува достапен од надворешната мрежа.

Оттука, ZDI опишува два начина на кои овој пристап може да се искористи за извршување код.

Првиот начин ја злоупотребува командата во PSEMHUB наменета за запишување записи во логовите. Корисникот што ја повикува командата ја контролира и содржината на датотеката и точната патека на дискот каде што таа ќе биде запишана. На тој начин, напаѓачот може да постави web shell во директориумот на апликацијата и да извршува команди со привилегиите на сервисната сметка на PeopleSoft.

Вториот начин вклучува запишување злонамерна XML-датотека, која PSEMHUB ја обработува со помош на Java-механизмот XMLDecoder при следното стартување на сервисот. Така се извршува кодот на напаѓачот без воопшто да мора да постави web shell. Овој втор начин остава помалку траги што би можеле да бидат откриени со стандардните безбедносни механизми.

Според ZDI, клучниот проблем е одлуката во дизајнот стандардно да се дозволува пристап преку loopback-адресата. Кога постои SSRF-пропуст, ова ја прави проверката на довербата неефикасна. Ова е особено важно за безбедносните тимови кои сметале дека правилото на заштитниот ѕид веќе ги штити од вакви напади.

Во септемврискиот бран напади, Mandiant открил дека ShinyHunters ги заобиколувале правилата на заштитните ѕидови за веб-апликации (WAF), кои го блокирале патот /PSEMHUB/, со URL-кодирање на еден знак. Наместо тоа, испраќале барања кон /%50SEMHUB/.

Многу WAF-правила го препознаваат патот според неговиот обичен текстуален запис, додека серверот на PeopleSoft го декодира и ја испорачува бараната страница.

Што треба да се направи

Препораките за отстранување на проблемот и понатамошно постапување доаѓаат од Oracle и Mandiant, а не од анализата на ZDI, која се фокусира на самиот пропуст.

– Инсталирајте ја безбедносната исправка. Применете ја исправката од безбедносното предупредување на Oracle за CVE-2026-35273 и користете поддржана верзија на PeopleTools. Mandiant јасно нагласува дека блокирањето пристап преку WAF-правила засновани на патеката не е замена за инсталирање на исправката.

– Ако сè уште не можете да ја инсталирате исправката, оневозможете ја услугата Environment Management Hub во конфигурации со повеќе сервери или отстранете ја апликацијата PSEMHUB во конфигурации со еден сервер, како што советува Oracle во своето безбедносно предупредување. Ограничувањето на пристапот до овие административни крајни точки не ги нарушува вообичаените кориснички сесии.

– Ако постои сомневање дека системот веќе бил компромитиран, Mandiant препорачува секој хост на кој е пронајден web shell да се третира како компромитиран, да се зачуваат доказите и да се сменат сите акредитиви до кои може да се пристапи од инфраструктурата на PeopleSoft. Бидејќи ShinyHunters краде податоци, а потоа бара исплата, засегнатите организации треба да се подготват за можни изнуди.

Едно прашање останува неодговорено во достапните извори: дали инсталирањето на исправката го укинува пристапот што напаѓачот веќе го стекнал. Безбедносното предупредување на Oracle не го разјаснува ова, а препораките на Mandiant за промена на акредитивите и пребарување web shell-датотеки подразбираат дека тоа не е загарантирано.

Инсталирањето на исправката го затвора влезот, но само по себе не го отстранува напаѓачот што веќе се наоѓа внатре во системот.

Извори:

• The Hacker News – ShinyHunters-Exploited Oracle PeopleSoft Zero-Day Turns Out to Be Three Chained Flaws The Hacker News