Уязвимость Oracle PeopleSoft, которую эксплуатировали ShinyHunters, оказалась цепочкой из трёх ошибок

Критическая уязвимость в Oracle PeopleSoft, которую группировка ShinyHunters эксплуатирует с мая, на деле состоит из трёх ошибок, объединённых в цепочку. Об этом на этой неделе сообщили исследователи, обнаружившие проблему. В июне Oracle закрыла все три под единым идентификатором CVE-2026-35273.

Разбор опубликовал Бобби Гулд (Bobby Gould) из Zero Day Initiative (ZDI), чья команда и передала сведения Oracle. По данным ZDI, речь идёт о трёх отдельных уязвимостях в двух компонентах PeopleSoft. Сейчас ZDI добивается от Oracle отдельного CVE для каждой из них, но пока в реестре значится лишь июньский идентификатор.

Масштаб проблемы

CVE-2026-35273 затрагивает PeopleSoft Enterprise PeopleTools версий 8.61 и 8.62 и имеет оценку CVSS 9.8. Она позволяет неаутентифицированному злоумышленнику захватить сервер по сети. Oracle выпустила исправление 10 июня во внеочередном бюллетене безопасности, а CISA внесло уязвимость в каталог активно эксплуатируемых.

По данным Mandiant и Google Threat Intelligence Group, группировка UNC6240, более известная как ShinyHunters, атаковала через эту брешь с 27 мая по 9 июня, в основном университеты. Поскольку всё это происходило до выхода исправления, уязвимость всё это время оставалась уязвимостью нулевого дня. В сентябре Mandiant сообщила о новой, более масштабной волне атак, которая вышла за пределы образования и задела технологические компании, ИТ-услуги, здравоохранение, сельское хозяйство, транспорт и госсектор. Пострадали десятки систем по всему миру.

Как устроена цепочка

В атаке участвуют два компонента, работающие как отдельные веб-приложения. Integration Gateway (PSIGW) обменивается сообщениями с внешними системами. Environment Management Hub (PSEMHUB) — внутренний административный интерфейс, который должен отвечать только доверенным хостам.

Первая ошибка — подделка серверных запросов (SSRF) в PSIGW. Злоумышленник управляет и адресом, на который пересылается запрос, и всем его содержимым, а проверки адресата нет. Сама по себе такая брешь значила бы немного, если бы не то, до чего она дотягивается.

PSEMHUB сверяет отправителя со списком в файле allowedhosts.properties, а в нём по умолчанию уже указан адрес 127.0.0.1. Атакующий направляет SSRF на loopback, запрос выглядит пришедшим с самой машины, и проверка доверия пройдена. Интерфейс, который Oracle задумывала изолированным, оказывается доступен извне.

Дальше ZDI описывает два пути к выполнению кода. Первый — команда PSEMHUB для записи журналов: вызывающий задаёт и содержимое, и путь к файлу, что позволяет подложить веб-шелл в каталог приложения и выполнять команды от имени служебной учётной записи PeopleSoft. Второй — запись вредоносного XML-файла, который PSEMHUB прочтёт через Java XMLDecoder при следующем запуске службы. Этот путь обходится без веб-шелла и оставляет меньше следов для стандартных средств обнаружения.

В сентябрьской волне Mandiant заметила, как ShinyHunters обходили правила WAF, блокирующие путь /PSEMHUB/: достаточно было закодировать в URL один символ и запросить /%50SEMHUB/. Многие правила сравнивают путь как простой текст, а сервер PeopleSoft его декодирует и отдаёт страницу.

Что делать

Основная мера — установить исправление Oracle и оставаться на поддерживаемой версии PeopleTools. Mandiant подчёркивает, что блокировка путей в WAF патч не заменяет. Если обновиться пока нельзя, Oracle советует отключить службу Environment Management Hub в многосерверных конфигурациях или удалить приложение PSEMHUB в односерверных. На обычные пользовательские сессии это не влияет.

Если взлом мог уже произойти, Mandiant рекомендует считать скомпрометированным любой хост с веб-шеллом, сохранить улики и сменить все учётные данные, доступные с уровня PeopleSoft. ShinyHunters крадут данные и затем требуют выкуп, так что к вымогательству стоит готовиться заранее. Устраняет ли патч уже полученный злоумышленником доступ, источники не уточняют, а рекомендации Mandiant исходят из того, что нет: обновление закрывает дверь, но не выставляет за неё тех, кто уже внутри.

Источник: The Hacker News