Oracle, E-Business Suite’te, kimliği doğrulanmamış saldırganların hassas verilere uzaktan erişmesine olanak tanıyan ve temel operasyonlar için platforma güvenen kuruluşlar için alarmları yükselten kritik bir güvenlik açığını açıkladı.
CVE-2025-61884 olarak izlenen kusur, Oracle Yapılandırıcı bileşenini etkiliyor ve 11 Ekim 2025’te yayınlanan bir güvenlik uyarısında ayrıntılı olarak açıklandı.
Bu, Oracle’ın kurumsal kaynak planlama yazılımında devam eden güvenlik sorunlarını vurgulayan başka bir E-Business Suite güvenlik açığı olan CVE-2025-61882’den birkaç gün sonra geldi.
Bu sorun, bilgisayar korsanlarının HTTP üzerinden kimlik doğrulamayı atlamasına olanak tanıyarak, finans ve tedarik zinciri yönetimi gibi iş süreçleri için kritik olan yapılandırma verilerinin potansiyel olarak açığa çıkmasına olanak tanıyor.
Oracle E-Business Suite RCE Güvenlik Açığı
CVE-2025-61884, E-Business Suite içindeki ürün ve hizmet konfigürasyonlarını yönetmek için kullanılan bir modül olan Oracle Yapılandırıcının Çalışma Zamanı Kullanıcı Arayüzünde bulunur.
Ağ erişimi olan saldırganlar, kimlik bilgileri olmadan bu kusurdan yararlanarak yetkisiz veri alımına veya numaralandırmaya yol açabilir. Güvenlik açığı, kimlik doğrulama atlama mekanizmasından kaynaklanıyor ancak etkilenen uç noktalar gibi belirli teknik ayrıntılar, yaygın suiistimali önlemek için açıklanmıyor.
Oracle, bunu CVSS 3.1 temel puanı 7,5 ile derecelendiriyor ve kullanım kolaylığı nedeniyle bunu yüksek önem derecesine sahip olarak sınıflandırıyor. Harici araştırmacılara herhangi bir kredi verilmemesi, Oracle’ın güvenlik ekibi tarafından dahili keşif yapıldığını düşündürmektedir.
Aşağıdaki tabloda güvenlik açığının temel yönleri özetlenmektedir:
| CVE Kimliği | Etkilenen Bileşen | Protokol | CVSS Taban Puanı | Saldırı Vektörü | Saldırı Karmaşıklığı | Gerekli Ayrıcalıklar | Kullanıcı Etkileşimi | Kapsam | Gizlilik Etkisi | Dürüstlük Etkisi | Kullanılabilirlik Etkisi | Desteklenen Sürümler |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| CVE-2025-61884 | Oracle Yapılandırıcı (Çalışma Zamanı Kullanıcı Arayüzü) | HTTP | 7.5 | Ağ | Düşük | Hiçbiri | Hiçbiri | değişmedi | Yüksek | Hiçbiri | Hiçbiri | 12.2.3-12.2.14 |
Bu yapılandırılmış döküm, tehdidin uzak, doğrulanmamış doğasını vurgulayarak, onu internete dönük herhangi bir dağıtım için erişilebilir hale getiriyor.
Başarılı bir şekilde yararlanma, bilgisayar korsanlarına operasyonel kararları yönlendiren hassas iş yapılandırmaları da dahil olmak üzere tüm Oracle Yapılandırıcı verilerine tam erişim sağlayabilir.
İmalat veya perakende gibi sektörlerdeki kuruluşlar için bu, özel modellerin, fiyatlandırma stratejilerinin ve müşteri ayrıntılarının açığa çıkması anlamına gelir ve potansiyel olarak rekabet dezavantajlarına veya düzenleme ihlallerine yol açar.
Bütünlüğü veya kullanılabilirliği etkilemeden yüksek gizlilik etkisi, onu yıkıcı bir saldırı yerine veri sızma vektörü olarak konumlandırır.
Son zamanlarda CVE-2025-61882’nin Cl0p gibi fidye yazılımı grupları tarafından istismar edildiği göz önüne alındığında, güvenlik uzmanları, özellikle benzer kusurlara ilişkin kavram kanıtlarının dolaşımda olması nedeniyle CVE-2025-61884’ün de aynı yolu izleyebileceği konusunda uyarıyorlar. Düzeltme eki uygulanmamış E-Business Suite örneklerine sahip kuruluşlar, özellikle halka açık internete maruz kaldıklarında yüksek risklerle karşı karşıya kalır.
Azaltmalar
Oracle, Premier veya Genişletilmiş Destek kapsamında desteklenen sürümler için Security Alert programı aracılığıyla sunulan 12.2.3 ila 12.2.14 sürümleri için yayımlanan yamaların derhal uygulanmasını önermektedir.
12.1.3 gibi önceki sürümler de eksik testlere rağmen savunmasız olabileceğinden, eski sürümlere sahip müşterilerin bakımı yapılan şubelere yükseltme yapması gerekir.
Ek savunmalar arasında Yapılandırıcı Kullanıcı Arayüzüne HTTP erişimini sınırlamak için ağ bölümlemesi ve anormal isteklerin izlenmesi yer alır.
Oracle’ın danışma belgesi, destek belgeleri aracılığıyla ayrıntılı yama talimatları sağlar ve sürekli koruma için Ömür Boyu Destek Politikasını vurgular.
Bu CVE için aktif bir istismar doğrulanmasa da, hızlı E-Business Suite saldırılarının düzeni, hassas kaynakların korunması için hızlı eylem gerektirir.
Günlük siber güvenlik güncellemeleri için bizi Google Haberler, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.
