Pokušaji napada na Oracle EBS propust CVE-2026-101767
Defused Cyber je 27. oktobra zabeležio pokušaje ispitivanja ranjivosti CVE-2026-101767 u Oracle E-Business Suite, ocenjene sa CVSS 9,8. Oracle je propust u Oracle Application Object Library zakrpio prethodne nedelje kroz Critical Patch Update, a istraživači Brandon Peterson, Jimi Sebree i Noah King iz Horizon3.ai prijavili su ga Oracleu 24. jula 2026.
Neautentifikovani SQL injection vodi do izvršavanja komandi
Horizon3.ai opisuje CVE-2026-101767 kao neautentifikovani SQL injection u servletu Thin Client Framework. Napadač sa mrežnim pristupom pogođenom servletu može izvršavati SQL upite pod nalogom APPS korisnika baze, a zatim pokretati komande operativnog sistema pod nalogom EBS aplikacije.
Ranjiva putanja je /OA_HTML/AppsTCFServer. Posebno oblikovan zahtev može omogućiti izvršavanje SQL-a sa privilegijama APPS korisnika, a potom i komandi na aplikacionom hostu sa pravima naloga EBS aplikacije.
Uspešna zloupotreba može napadaču omogućiti čitanje ili menjanje aplikacionih podataka dostupnih korisniku APPS, kao i izvršavanje komandi na hostu. U zavisnosti od primene, ugroženi podaci mogu obuhvatiti finansijske evidencije, obračun zarada, HR i nabavne podatke. Obim pristupa operativnom sistemu zavisi od dozvola kompromitovanog naloga EBS aplikacije.
Izložene instance zahtevaju hitnu proveru
Najveći rizik imaju Oracle EBS instalacije dostupne sa interneta. Ipak, napad je moguć i na internim sistemima ako napadač, na primer sa već kompromitovanog uređaja ili dostupnog mrežnog segmenta, može da pristupi ranjivom servletu.
Ako zakrpa ne može odmah da se primeni, Horizon3.ai preporučuje uklanjanje putanje /OA_HTML/AppsTCFServer, povezane sa oracle.apps.fnd.tcf.SocketServer, iz dozvoljene liste URL firewall-a. Preporučeno je i ograničavanje pristupa EBS web sloju na pouzdane mreže, uz nadzor aplikacionog hosta i baze podataka.
Signali koje treba pratiti
Među indikatorima kompromitacije su neautentifikovani POST zahtevi ka /OA_HTML/AppsTCFServer koji instanciraju klasu oracle.apps.jtf.gantt.server.GanttDataServer, a zatim i aktivnost u pozadinskoj bazi. Dodatni znaci su SQL izviđanje posle neautentifikovanih web zahteva, uključujući upite o verziji baze, trenutnom korisniku i objektima direktorijuma.
Timovi treba da obrate pažnju i na neočekivane datoteke u $APPLPTMP, kao i na slučajeve u kojima oracle nalog preko Concurrent Managera pokreće /bin/sh radi izvršavanja komandi. Oracle EBS je već bio meta aktivne eksploatacije ranjivosti CVE-2025-61882 i CVE-2026-46817, obe sa CVSS ocenom 9,8. Praktičan poslovni prioritet je ubrzano zakrpiti izložene instance, ograničiti mrežni pristup i proveriti navedene tragove kompromitacije.