CVE-2025-61884
Oracle E-Business Suite Server-Side Request Forgery (SSRF) Vulnerability
Beschreibung
CVE-2025-61884 ist eine hochkritische Schwachstelle im Oracle Configurator, einer Komponente der Oracle E-Business Suite (Versionen 12.2.3 bis 12.2.14), mit einem CVSS-Score von 7.5 (hoch). Die Schwachstelle umfasst mehrere Schwachstellentypen, darunter Path Traversal (CWE-22), CRLF Injection (CWE-93), fehlerhafte Authentifizierung (CWE-287), HTTP Request Smuggling (CWE-444), Trust Boundary Violation (CWE-501) und SSRF (CWE-918). Ein nicht authentifizierter Angreifer kann ueber HTTP auf kritische Daten zugreifen. Die Schwachstelle ist im CISA KEV-Katalog mit bekanntem Ransomware-Bezug gelistet (Frist: 10.11.2025) und hat einen EPSS-Score von 0.41637 (97.3. Perzentil).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| oracle | configurator | >= 12.2.3, <= 12.2.14 |
Referenzen
- https://www.oracle.com/security-alerts/alert-cve-2025-61884.html(Vendor Advisory)
- https://blogs.oracle.com/security/post/apply-july-2025-cpu(Vendor Advisory)
- https://labs.watchtowr.com/well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882well-well-well-its-another-day-oracle-e-business-suite-pre-auth-rce-chain-cve-2025-61882/(Exploit, Press/Media Coverage)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-61884(US Government Resource)
Schwachstellentyp
CWE-22: Path Traversal
CWE-22 beschreibt eine Schwachstelle, bei der Pfadangaben nicht ausreichend validiert werden, wodurch ein Angreifer auf Dateien und Verzeichnisse ausserhalb des vorgesehenen Bereichs zugreifen kann.
CWE-93: CRLF Injection
CWE-93 beschreibt die unzureichende Neutralisierung von CRLF-Sequenzen, die es einem Angreifer ermoeglicht, HTTP-Header zu manipulieren und so Response-Splitting oder Log-Injection durchzufuehren.
CWE-287: Improper Authentication
CWE-287 beschreibt Schwaechen in der Authentifizierungsimplementierung, die es Angreifern ermoeglichen, sich ohne gueltige Anmeldedaten Zugang zu verschaffen.
CWE-444: HTTP Request Smuggling
CWE-444 beschreibt die inkonsistente Interpretation von HTTP-Anfragen zwischen verschiedenen Komponenten, die zu Request-Smuggling-Angriffen fuehren kann.
CWE-501: Trust Boundary Violation
CWE-501 beschreibt eine Schwachstelle, bei der Daten Vertrauensgrenzen ueberschreiten, ohne ausreichend validiert zu werden.
CWE-918: Server-Side Request Forgery (SSRF)
CWE-918 beschreibt eine Schwachstelle, bei der der Server dazu gebracht wird, Anfragen an beliebige Ziele im Namen des Angreifers zu senden, was den Zugriff auf interne Ressourcen ermoeglicht.
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-61884 auf Organisationen mit Oracle E-Business Suite sind schwerwiegend. Vertraulichkeit: Die Schwachstelle ermoeglicht den unautorisierten Zugriff auf kritische Daten oder sogar den vollstaendigen Datenzugriff auf Oracle Configurator. Dies umfasst potentiell Geschaeftsdaten, Kundenkonfigurationen und interne Systemdaten. Integritaet: Obwohl der primaere Angriffsvektor auf Datenexfiltration ausgerichtet ist, koennen die multiplen Schwachstellentypen (CRLF Injection, HTTP Request Smuggling, SSRF) in Kombination zu weitreichenden Integritaetsverletzungen fuehren. Verfuegbarkeit: Die Verfuegbarkeit ist laut CVSS nicht direkt betroffen, jedoch koennen erfolgreiche Angriffe zu einer Unterbrechung der Geschaeftsprozesse fuehren. Ausnutzungswahrscheinlichkeit: Der EPSS-Score von 0.41637 (97.3. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Besonders besorgniserregend ist, dass der Ransomware-Status als bekannt klassifiziert ist, was bedeutet, dass diese Schwachstelle aktiv von Ransomware-Gruppen ausgenutzt wird.
Exploit-Reifegrad
CVE-2025-61884 wird aktiv ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, mit einer Patch-Frist bis zum 10. November 2025. Der EPSS-Score von 0.41637 (97.3. Perzentil) bestaetigt die sehr hohe Ausnutzungswahrscheinlichkeit. Besonders kritisch ist der bekannte Ransomware-Bezug -- diese Schwachstelle wird aktiv von Ransomware-Gruppen ausgenutzt. Detaillierte Exploit-Informationen, einschliesslich einer Pre-Auth-RCE-Kette fuer die Oracle E-Business Suite, wurden von watchTowr Labs veroeffentlicht: Exploit-Details bei watchTowr Labs. Die Kombination aus einfacher Ausnutzbarkeit, keiner erforderlichen Authentifizierung und Ransomware-Bezug macht diese Schwachstelle zu einer der dringendsten Bedrohungen fuer Oracle E-Business Suite-Installationen.
Behebung
- Oracle CPU-Patch installieren: Wenden Sie umgehend den Oracle Critical Patch Update (CPU) an, der ueber das Oracle Security Alert verfuegbar ist. Dieser Patch adressiert die Schwachstelle in Oracle Configurator fuer die Versionen 12.2.3 bis 12.2.14.
- Oracle Configurator einschraenken: Beschraenken Sie den Zugriff auf die Runtime UI-Komponente des Oracle Configurator auf vertrauenswuerdige Netzwerke und authentifizierte Benutzer. Blockieren Sie externen HTTP-Zugriff durch Reverse-Proxy-Regeln.
- WAF-Regeln implementieren: Setzen Sie eine Web Application Firewall mit Regeln ein, die Path-Traversal-Versuche, CRLF-Injection, HTTP-Request-Smuggling und SSRF-Angriffe erkennen und blockieren.
- Sicherheitspruefung durchfuehren: Analysieren Sie Zugriffsprotokolle auf Anzeichen einer Kompromittierung, insbesondere auf ungewoehnliche HTTP-Anfragen an den Oracle Configurator und Zugriffe auf interne Ressourcen ueber SSRF.
- Netzwerkisolation verstaerken: Isolieren Sie die Oracle E-Business Suite in einem dedizierten Netzwerksegment und implementieren Sie strikte Egress-Filterung, um SSRF-basierte Angriffe auf interne Ressourcen zu verhindern.
Technische Details
Der CVSS-Vektor fuer CVE-2025-61884 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N mit einem Score von 7.5 (hoch). Angriffsvektor (AV:N): Die Schwachstelle ist ueber HTTP vom Netzwerk aus erreichbar. Angriffskomplexitaet (AC:L): Die Ausnutzung ist unkompliziert und erfordert keine besonderen Bedingungen. Erforderliche Privilegien (PR:N): Keine Authentifizierung erforderlich. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion noetig. Auswirkungen: Die Vertraulichkeit ist hoch betroffen (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) laut CVSS nicht direkt betroffen sind. Der Angriffsmechanismus nutzt eine Kombination mehrerer Schwachstellentypen in der Runtime UI-Komponente des Oracle Configurator. Durch Path Traversal koennen Dateien ausserhalb des vorgesehenen Verzeichnisses gelesen werden. CRLF Injection ermoeglicht die Manipulation von HTTP-Headern. HTTP Request Smuggling umgeht Sicherheitskontrollen. SSRF ermoeglicht Anfragen an interne Ressourcen. Die fehlerhafte Authentifizierung und Trust Boundary Violations ermoeglichen den unautorisierten Zugriff auf vertrauliche Daten.
Häufig gestellte Fragen
Was ist CVE-2025-61884 und warum hat sie einen Ransomware-Bezug?
CVE-2025-61884 ist eine Schwachstelle im Oracle Configurator der E-Business Suite, die den unautorisierten Zugriff auf kritische Daten ermoeglicht. Sie hat einen bestaetigten Ransomware-Bezug, was bedeutet, dass Ransomware-Gruppen diese Schwachstelle aktiv nutzen, um in Unternehmensnetzwerke einzudringen und Daten zu verschluesseln oder zu exfiltrieren.
Welche Versionen der Oracle E-Business Suite sind betroffen?
Betroffen sind alle Oracle Configurator-Versionen von 12.2.3 bis einschliesslich 12.2.14. Dies umfasst einen grossen Teil der aktuell eingesetzten E-Business Suite-Installationen.
Warum sind so viele verschiedene CWE-Typen aufgelistet?
Die Schwachstelle umfasst mehrere Angriffsvektoren (Path Traversal, CRLF Injection, HTTP Smuggling, SSRF, Authentifizierungsfehler, Trust Boundary Violation), die zusammen eine umfassende Angriffsflaeche bilden. Diese Vielfalt macht die Schwachstelle besonders gefaehrlich.
Wie dringend sollte der Patch eingespielt werden?
Angesichts des bestaetigten Ransomware-Bezugs, der aktiven Ausnutzung und des hohen EPSS-Scores sollte das Patchen hoechste Prioritaet haben. Die CISA-Frist ist der 10. November 2025, doch eine sofortige Reaktion ist dringend empfohlen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.