- CVE-2025-61882 ermöglicht die nicht authentifizierte Remotecodeausführung gegen Oracle E‑Business Suite.
- Betroffen sind die Versionen 12.2.3 bis 12.2.14; Oracle hat eine außerplanmäßige Sicherheitswarnung und Patches herausgegeben.
- In der Praxis werden SSRF, CRLF-Header-Injektion, Umgehung des Authentifizierungsfilters und XSLT-Missbrauch verwendet, um RCE zu erreichen.
- Mit Cl0p verknüpfter Exploit mit von Oracle freigegebenen IOCs. Verteidiger sollten Patches installieren und nach Kompromissen suchen.
Nach einer Woche voller widersprüchlicher Meldungen und Spekulationen ist das Bild um CVE-2025-61882 nun endlich klarer. Mehrere Quellen bestätigen, dass eine kritische Schwachstelle in der Oracle E-Business Suite aktiv ausgenutzt wird. Angreifer erreichen damit die Ausführung von Schadcode vor der Authentifizierung auf Systemen, die mit dem Internet verbunden sind.
Dieser Fall ist insofern besonders, als die beobachteten Aktivitäten nicht auf einem einzelnen Fehler, sondern auf einer mehrstufigen Angriffskette beruhen. Kleinere Schwachstellen werden zu einer vollständigen Übernahme verknüpft. Oracle hat einen Notfall-Fix und entsprechende Anleitungen veröffentlicht, während Threat-Intelligence-Teams von massenhafter Ausnutzung und der Verbreitung von funktionsfähigem Proof-of-Concept-Code berichten .
Was ist betroffen und wie schwerwiegend ist es?
Oracles Sicherheitswarnung vom Wochenende besagt, dass CVE-2025-61882 es einem Angreifer ermöglicht, eine E-Business Suite-Installation ohne Authentifizierung über HTTP zu kompromittieren . Eine erfolgreiche Ausnutzung führt zur Ausführung von Schadcode. Betroffen sind die Versionen 12.2.3 bis 12.2.14 , was für Unternehmen, die EBS in großem Umfang betreiben, erhebliche Auswirkungen haben kann.
Oracle stuft die Auswirkungen als kritisch ein (weitgehend zitiert in CVSS 9.8 ) und fordert Kunden dringend auf, die bereitgestellten Updates umgehend zu installieren. Berichte nationaler Cybersicherheitsbehörden bestätigen die Einschätzung des Anbieters: Eine speziell präparierte Anfrage an die betroffene Komponente kann ohne Benutzereingriff zu einer vollständigen Kompromittierung des Systems führen.
Funktionsweise der Angriffskette (auf hoher Ebene)
Unabhängige Forschungsergebnisse beschreiben eine Angriffskette , die mehrere Schwachstellen kombiniert, um von einem ersten Zugriff bis zur Codeausführung zu gelangen. Im Wesentlichen missbrauchen Angreifer zunächst einen Serverendpunkt, um die Anwendung zu serverseitigen Anfragen (SSRF) an Ziele ihrer Wahl innerhalb der Umgebung des Opfers zu zwingen.
Von dort aus erweitern Angreifer die Kontrolle über die gefälschte Anfrage durch CRLF-Header-Injection und manipulieren so die Struktur des nachfolgenden HTTP-Aufrufs. Durch die gezielte Wiederverwendung derselben TCP-Sitzung ( HTTP Keep-Alive ) erhöhen sie die Zuverlässigkeit und reduzieren Störungen, indem sie zusätzliche Schritte über eine einzige Verbindung verketten.
Mit diesen grundlegenden Werkzeugen zielt die Angriffskette auf einen intern gebundenen Dienst ab , der typisch für Oracle EBS-Bereitstellungen ist und über die gefälschten Anfragen erreichbar ist. Die Forscher beobachteten eine Filterumgehung mithilfe speziell präparierter Pfade, um auf Endpunkte zuzugreifen, die andernfalls eine Authentifizierung erfordern würden.
Der letzte Angriffspunkt nutzt eine Seite aus, die dynamisch ein XSL-Stylesheet basierend auf dem Anfragekontext lädt. Indem der Angreifer beeinflusst, woher dieses Stylesheet geladen wird, kann er den Server dazu zwingen, nicht vertrauenswürdiges XSLT zu verarbeiten – ein bekannter Weg zur Codeausführung in Java, wenn unsichere Erweiterungen verfügbar sind. Zusammengenommen führen diese Schritte zu einer Remote Code Execution (RCE) vor der Authentifizierung gegen betroffene EBS-Systeme.
Aktive Ausnutzung und Bedrohungsaktivität
Mehrere Sicherheitsteams berichten von anhaltenden Angriffen, die CVE-2025-61882 ausnutzen. Die Führungsebene von Mandiant hat die Angriffswelle mit groß angelegten Datendiebstählen und damit verbundenen Erpressungsaktivitäten in Verbindung gebracht und festgestellt, dass die Angreifer in ihren Kampagnen sowohl neue als auch bereits behobene EBS-Schwachstellen kombinierten.
Die Warnung von Oracle enthält Hinweise auf eine Kompromittierung, die im Rahmen der Reaktion auf den Vorfall festgestellt wurden, wie beispielsweise IP-Adressen und Spuren in den betroffenen Systemen. In separaten Berichten wird auf durchgesickerte Tools und gemeinsam genutzte Skripte hingewiesen und die mögliche Beteiligung bekannter Datendiebstahl- und Ransomware-Gruppen erwähnt , wobei einige Verbindungen noch unbestätigt sind.
Schätzungen zufolge sind rund vierstellige EBS-Instanzen über das öffentliche Internet erreichbar, viele davon in den USA. Angesichts der Veröffentlichung von funktionierendem Exploit-Code und der Tatsache, dass die Schwachstelle vor der Authentifizierung auftritt , warnen Sicherheitsbehörden und Anbieter gleichermaßen davor, dass die Ausnutzung wahrscheinlich auf weitere Akteure ausgeweitet wird.
Was Verteidiger jetzt tun sollten
Die oberste Priorität ist die Installation der Sicherheitsupdates von Oracle , die Befolgung der offiziellen Empfehlungen zur Risikominderung sowie die Überprüfung der Risikominderungsstrategien . Angesichts der Berichte über weit verbreitete Ausnutzung sollten Unternehmen von einem möglichen Risiko ausgehen und proaktiv Sicherheitsanalysen durchführen , selbst wenn die Patches schnell installiert werden.
Suchen Sie nach Hinweisen auf die beschriebene SSRF-Aktivität , ungewöhnlichen ausgehenden HTTP-Anfragen von Anwendungsservern, unerwartetem Zugriff auf intern gebundene EBS-Dienste und Anzeichen für bösartige XSLT-Verarbeitung . Vergleichen Sie Netzwerktelemetriedaten, Reverse-Proxy-Protokolle, EBS-Zugriffsprotokolle und Endpunktwarnungen mit den von Oracle bereitgestellten Indikatoren für eine Kompromittierung (IOCs).
Wo immer möglich, sollte die Angriffsfläche durch Minimierung der Anzahl internetseitiger EBS-Endpunkte , strikte Netzwerksegmentierung zur Isolation interner Dienste und Absicherung von Reverse-Proxys gegen Pfadmanipulationen und verdächtige Header-Manipulationen reduziert werden. Eine verbesserte Transparenz der Schnittstellen zwischen Web und internen Diensten ist besonders wichtig im Hinblick auf verkettete SSRF-Angriffe.
Für Incident-Responder gilt: Seien Sie auf Datendiebstahl und die Wiederverwendung von Zugangsdaten vorbereitet . Stellen Sie die Integrität der EBS-Anwendungskomponenten sicher, überprüfen Sie geplante Aufgaben und Out-of-Band-Verwaltungsschnittstellen und unterbinden Sie jegliche laterale Ausbreitung vom EBS-System.
Das sich entwickelnde Bild zeigt eine kritische Remote Code Execution (RCE)-Schwachstelle vor der Authentifizierung in weit verbreiteten Versionen der Oracle E-Business Suite. Die Angriffskette in der Praxis kombiniert SSRF, Request Smuggling über CRLF, die Umgehung von Authentifizierungsfiltern und XSLT-Missbrauch. Da die Ausnutzung bereits begonnen hat , sind schnelle Patches, gezielte Bedrohungsanalyse und strengere Sicherheitsvorkehrungen für die internen EBS-Komponenten die effektivsten Maßnahmen.
