CVE詳細 - CVE-2025-61882-

CVE-2025-61882 の詳細

CVEの情報

説明:
Vulnerability in the Oracle Concurrent Processing product of Oracle E-Business Suite (component: BI Publisher Integration). Supported versions that are affected are 12.2.3-12.2.14. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Concurrent Processing. Successful attacks of this vulnerability can result in takeover of Oracle Concurrent Processing. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CVE更新日: 2025-10-05 04:15:40.340000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-10-06

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.997320000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-61882は、Oracle E-Business Suite (EBS) のConcurrent Processing製品（BI Publisher Integrationコンポーネント）に存在する、認証なしでリモートから悪用可能な重大な脆弱性です。この脆弱性は、Cl0pランサムウェアグループなどの脅威アクターによって既に悪用されていることが確認されています。

1. 脆弱性の概要

CVE-2025-61882は、Oracle E-Business Suiteにおいて、認証なしでリモートコード実行 (RCE) を可能にする複数の脆弱性を連鎖させたものです。このエクスプロイトチェーンには、Server-Side Request Forgery (SSRF)、CRLFインジェクション、認証バイパス、および安全でないXSLT処理が含まれます。攻撃者は、特別に細工されたHTTPリクエストを送信することで、影響を受けるコンポーネントを悪用し、システムを完全に制御することができます。

1.1 影響

本脆弱性の悪用に成功すると、認証されていない攻撃者がOracle Concurrent Processingを乗っ取ることができます。これにより、機密データへのアクセス、設定の変更、操作の妨害、およびシステムの完全な侵害が可能になります。具体的には、攻撃者はプログラムのインストール、データの表示・変更・削除、またはフルユーザー権限を持つ新しいアカウントの作成が可能です。 Cl0pランサムウェアグループによる悪用では、データ窃盗と恐喝が目的とされています。

1.2 深刻度

CVSS 3.1の基本スコアは9.8（Critical）と評価されており、機密性、完全性、可用性の全てに影響を及ぼします。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性（KEV）リストに追加されており、ランサムウェアキャンペーンで使用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、特定のOSバージョンではなく、Oracle E-Business Suiteのバージョンに影響を与えます。影響を受けるOracle E-Business Suiteのバージョンは以下の通りです。

Oracle E-Business Suite バージョン 12.2.3 から 12.2.14 まで (12.2.14を含む)

2.2 影響を受ける設定

Concurrent ProcessingのHTTPエンドポイントを公開しているすべてのOracle EBSデプロイメントがリスクにさらされます。特に、インターネットに公開されているOracle E-Business Suiteインスタンスは最もリスクが高く、デフォルト設定やレガシー設定が残っている場合に顕著です。

3. 影響を受けた時の兆候

潜在的な兆候には以下のものが含まれます。

Oracle E-Business Suite CRLF Injection Vulnerability (CVE-2025-61882) の検出
Oracle E-Business Suite Vulnerability (CVE-2025-61882) の検出
CVE-2025-61882 Oracle Remote Code Execution Exploit HTTP (Request) - Outbound/Inbound の検出
Oracleディレクトリ内の疑わしいJavaファイルの作成または変更
EBSアプリケーションサーバーからのアーカイバー/ネットワークツールのプロセス実行など、不審なHTTP POSTリクエストからBI Publisherエンドポイントへの異常な活動や、$INST_TOP/apps/*/oacore/ 内での疑わしいファイル作成
GOLDVEIN.JAVAやそのダウンローダー、FileUtils.javaやLog4jConfigQpgsubFilter.javaなどのウェブシェルの存在

4. 推奨対策

4.1 本対策

緊急パッチの適用: OracleはCVE-2025-61882に対処するための緊急パッチをリリースしています。影響を受けるOracle E-Business Suiteインスタンスの顧客は、緊急で最新バージョンにアップデートすることが推奨されます。パッチを適用する前に、2023年10月のCritical Patch Updateが適用されている必要があります。
ソフトウェアの更新: 脆弱なシステムに、Oracleまたはこのソフトウェアを使用する他のベンダーが提供する適切な更新プログラムを、適切なテスト後に直ちに適用します。

4.2 暫定回避策（緩和策）

ネットワークの強化: 影響を受ける管理/BI Publisherインターフェース (HTTP/S) へのアクセスを、信頼できる管理ネットワークにのみ制限します。
ウェブに公開されているアプリケーションの隔離: ウェブに公開されているアプリケーションを隔離することを検討します。
WAF (Web Application Firewall) と IPS (Intrusion Prevention System) の導入: 既知の悪用パターンをブロックするためのWAFルールを実装します。 FastlyはCVE-2025-61882用の仮想パッチを提供しています。
Egressおよびプロセス監視: 疑わしいシェルやコールバックのプロセス、およびアウトバウンド接続を監視します。
封じ込め: 悪用が検出された場合、影響を受けるホストを隔離し、インシデント対応のためにログを保存します。

その他に解説すべき観点

脅威アクター: Cl0pランサムウェアグループがこの脆弱性を悪用していることが確認されており、Mandiant at Google Cloudによって2025年8月頃からゼロデイ脆弱性として悪用されていたとされています。 GRACEFUL SPIDERも関与している可能性が指摘されています。
攻撃手法: SSRF (Server-Side Request Forgery) に始まり、CRLFインジェクション、HTTP持続的接続、認証フィルターバイパス、XSL変換 (XSLT) を利用したマルチステージのエクスプロイトチェーンです。攻撃者は、細工されたXML文書をUiServletエンドポイントにPOSTすることでSSRFをトリガーし、内部サービスを標的にして認証フィルターをバイパスし、悪意のあるXSLTスタイルシートをサーバーに処理させることで任意のコード実行を実現します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る