Η απειλή του CVE-2025-61884 στην Oracle
Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των Ηνωμένων Πολιτειών (CISA) ανακοίνωσε την προσθήκη πέντε νέων κενών ασφαλείας στο Known Exploited Vulnerabilities (KEV) Catalog της. Ανάμεσα σε αυτά, περιλαμβάνεται και μια νέα ευπάθεια που επηρεάζει το Oracle E-Business Suite (EBS), η οποία έχει ήδη αξιοποιηθεί σε επιθέσεις πραγματικού κόσμου.
Η ευπάθεια αυτή, με κωδικό CVE-2025-61884 και βαθμολογία CVSS 7.5, χαρακτηρίζεται ως server-side request forgery (SSRF) στην Runtime συνιστώσα του Oracle Configurator. Αυτή η ευπάθεια επιτρέπει στους επιτιθέμενους να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε κρίσιμα δεδομένα, θέτοντας σε κίνδυνο την ασφάλεια των πληροφοριακών συστημάτων.
Η CISA επισημαίνει ότι η συγκεκριμένη ευπάθεια μπορεί να εκμεταλλευτεί απομακρυσμένα χωρίς να απαιτείται ταυτοποίηση, γεγονός που την καθιστά ιδιαίτερα επικίνδυνη.
Εκμετάλλευση και συνέπειες
Η ευπάθεια CVE-2025-61884 είναι η δεύτερη που έχει αξιοποιηθεί ενεργά στο Oracle EBS, μαζί με την CVE-2025-61882, μια κρίσιμη ευπάθεια με βαθμολογία CVSS 9.8. Αυτή επιτρέπει σε μη εξουσιοδοτημένους επιτιθέμενους να εκτελέσουν αυθαίρετο κώδικα σε ευάλωτες εγκαταστάσεις.
Σύμφωνα με την Google Threat Intelligence Group (GTIG) και τη Mandiant, δεκάδες οργανισμοί ενδέχεται να έχουν επηρεαστεί από την εκμετάλλευση της CVE-2025-61882. Οι ερευνητές δεν έχουν ακόμη προσδιορίσει συγκεκριμένους δράστες, αλλά υποψιάζονται ότι ορισμένες από τις παρατηρηθείσες δραστηριότητες εκμετάλλευσης μπορεί να σχετίζονται με ομάδες που διεξάγουν εκβιαστικές επιχειρήσεις με την επωνυμία Cl0p.
Άλλες ευπάθειες στον κατάλογο KEV
Εκτός από τις ευπάθειες της Oracle, η CISA πρόσθεσε τέσσερις ακόμη ευπάθειες στον κατάλογο KEV:
- CVE-2025-33073 (CVSS 8.8) – Ευπάθεια ακατάλληλου ελέγχου πρόσβασης στο Microsoft Windows SMB Client, που μπορεί να επιτρέψει την κλιμάκωση προνομίων. Η Microsoft διόρθωσε το πρόβλημα τον Ιούνιο του 2025.
- CVE-2025-2746 (CVSS 9.8) – Παράκαμψη αυθεντικοποίησης μέσω εναλλακτικής διαδρομής στο Kentico Xperience CMS, που επιτρέπει σε επιτιθέμενους τον έλεγχο διοικητικών αντικειμένων. Διορθώθηκε τον Μάρτιο του 2025.
- CVE-2025-2747 (CVSS 9.8) – Παράκαμψη αυθεντικοποίησης μέσω εναλλακτικής διαδρομής στο Kentico Xperience CMS, με παρόμοια χαρακτηριστικά με την προηγούμενη ευπάθεια. Διορθώθηκε τον Μάρτιο του 2025.
- CVE-2022-48503 (CVSS 8.8) – Ευπάθεια ακατάλληλης επικύρωσης δείκτη πίνακα στο JavaScriptCore της Apple, που μπορεί να οδηγήσει σε αυθαίρετη εκτέλεση κώδικα κατά την επεξεργασία περιεχομένου ιστού. Διορθώθηκε από την Apple τον Ιούλιο του 2022.
Ανταλλαγή πληροφοριών και προθεσμίες
Παρόλο που δεν υπάρχουν λεπτομέρειες για το πώς οι τέσσερις τελευταίες ευπάθειες αξιοποιούνται στον πραγματικό κόσμο, οι ερευνητές από τις Synacktiv και watchTowr Labs έχουν μοιραστεί πληροφορίες σχετικά με τις CVE-2025-33073, CVE-2025-2746 και CVE-2025-2747.
Οι ομοσπονδιακές υπηρεσίες της Εκτελεστικής Εξουσίας των Ηνωμένων Πολιτειών (FCEB) έχουν προθεσμία μέχρι τις 10 Νοεμβρίου 2025 για να επιδιορθώσουν τις αναγνωρισμένες ευπάθειες, ώστε να προστατεύσουν τα δίκτυά τους από ενεργές απειλές.
