Sicherheitslücke: Weiterer Notfall-Patch für Oracle E-Business Suite
Oracle hat ein weiteres außerplanmäßiges Update für die E-Business Suite veröffentlicht. Einer Sicherheitswarnung zufolge lässt sich eine Sicherheitslücke mit der Kennung CVE-2025-61884(öffnet im neuen Fenster) aus der Ferne und ohne Authentifizierung ausnutzen. Angreifer erhalten unter Umständen Zugriff auf vertrauliche Ressourcen.
Betroffen ist die E-Business Suite in den Versionen 12.2.3 bis 12.2.14. Oracle geht davon aus, dass die Schwachstelle "leicht" ausgenutzt werden kann. Bisher sei aber noch kein Exploit bekannt, hieß es. Eine Ausnutzung sei auch über ein Netzwerk per http oder https möglich, jeweils ohne Eingabe eines Benutzernamens oder eines Passworts.
Der eigentliche Fehler steckt demnach in der Komponente Runtime UI und erlaubt es, den Oracle Configurator zu kompromittieren. Dieser dient der Entwicklung von Konfigurationsmodellen und Konfiguratoren. Letztere sollen angepasste Konfigurationsfunktionen für Nutzer bereitstellen.
Keine Interaktion mit Nutzern erforderlich
Von der Sicherheitslücke geht ein hohes Risko aus. Im zehnstufigen Common Vulnerability Scoring System (CVSS) wird die Anfälligkeit mit 7,5 Punkten bewertet. Unter anderem fließt in die Bewertung ein, dass ein Angriff ohne Interaktion mit Nutzern ausgeführt werden kann. Ein Update steht seit dem 11. Oktober zur Verfügung.
Bereits Anfang des Monats schloss Oracle mit einem Notfall-Patch eine kritische Lücke in der E-Business Suite. Der stellvertretende FBI-Direktor Brett Leatherman bezeichnete den Bug als "eine Schwachstelle, bei der man sofort alles stehen- und liegenlassen und einen Patch installieren muss" .
Laut Google-Tochter Mandiant kommt die fragliche Lücke in einer aktuellen Kampagne der Ransomware-Gruppe Clop zum Einsatz. Hinweise auf eine Ausnutzung der neuen Sicherheitslücke in der E-Business Suite liegen Oracle zufolge bisher nicht vor.