CVE-2025-61882

Falha crítica não autenticada no componente BI Publisher Integration do Oracle Concurrent Processing (Oracle E-Business Suite), que permite comprometimento total do sistema via HTTP sem qualquer credencial. Foi explorada como zero-day em campanha de exfiltração de dados em massa antes mesmo de existir patch público, e está na lista KEV da CISA com prazo de correção de 27/10/2025.

A Oracle classifica a falha no componente BI Publisher Integration dentro do Oracle Concurrent Processing, parte do Oracle E-Business Suite (EBS). O advisory oficial não detalha o mecanismo interno (não especifica se é deserialização, SSRF, XXE ou falha de controle de acesso) — a descrição é genericamente 'vulnerabilidade facilmente explorável' que permite takeover completo do componente via rede, sem autenticação e sem interação do usuário (vetor CVSS AV:N/AC:L/PR:N/UI:N).

O vetor CVSS 3.1 (9.8) indica impacto total em confidencialidade, integridade e disponibilidade, com complexidade de ataque baixa e nenhum privilégio necessário — perfil típico de uma falha de pré-autenticação em endpoint HTTP exposto do EBS. A ausência de detalhamento técnico oficial é consistente com o padrão da Oracle de não publicar internals de vulnerabilidades críticas em seus Critical Patch Updates.

A existência de módulo Metasploit e template Nuclei, somada a uma PoC pública divulgada em 3 de outubro de 2025 (segundo a CrowdStrike), sugere que pesquisadores da comunidade já reconstruíram a cadeia de exploração completa a partir do patch da Oracle e/ou de análise binária, mas o conteúdo técnico dessas reconstruções não está coberto pelas fontes consultadas aqui.

A CrowdStrike identificou uma campanha de exploração em massa que 'quase certamente' usa esta falha como zero-day, com foco em exfiltração de dados de instâncias Oracle EBS expostas à internet. A primeira exploração conhecida remonta a 9 de agosto de 2025 — quase dois meses antes da CVE ser publicada e do patch existir —, o que caracteriza uso de zero-day genuíno, não apenas exploração rápida pós-disclosure.

A CrowdStrike atribui a campanha com confiança moderada ao grupo que rastreia como GRACEFUL SPIDER, sem descartar a participação de múltiplos atores explorando a mesma falha de forma independente. A divulgação pública de uma PoC em 3 de outubro de 2025, coincidindo com a liberação do patch pela Oracle, provavelmente ampliou o número de atacantes capazes de reproduzir o ataque a partir dessa data.

O pré-requisito prático é acesso de rede HTTP ao componente Concurrent Processing/BI Publisher do EBS — não exige autenticação, conta válida, nem configuração não padrão além de o serviço estar acessível. Isso torna qualquer instância de EBS exposta diretamente à internet, sem segmentação, alvo trivial. Ambientes que mantêm o EBS acessível apenas em rede interna reduzem drasticamente a superfície de ataque, mesmo sem patch.

A mitigação definitiva é aplicar o patch de segurança da Oracle específico para CVE-2025-61882, publicado no Security Alert de outubro de 2025 (fora do ciclo normal de CPU, dada a gravidade). A Oracle também associa a correção ao ciclo do Critical Patch Update de julho de 2025 — organizações devem confirmar com o advisory oficial (oracle.com/security-alerts/alert-cve-2025-61882.html) qual patch numerado exato se aplica à sua versão de release (12.2.3 a 12.2.14), já que o número de patch específico não foi capturado nas fontes consultadas.

Como controle compensatório quando o patch não pode ser aplicado imediatamente: restringir o acesso de rede ao Oracle EBS, especialmente aos endpoints do Concurrent Processing/BI Publisher, para que não fiquem expostos diretamente à internet — usar VPN, allowlist de IPs ou segmentação de rede. Dado que o ataque documentado começou como zero-day sem qualquer sinalização prévia, monitorar logs de acesso HTTP a esses componentes por padrões anômalos é prioritário mesmo após o patch, para descartar comprometimento anterior à correção.

O que não funciona como mitigação: aplicar apenas patches genéricos de CPUs anteriores a julho/2025 não cobre esta falha, pois ela foi corrigida especificamente no alerta de outubro de 2025. Confiar unicamente em WAF para bloquear a exploração é frágil, já que o mecanismo exato do payload não é público de forma padronizada pela Oracle — assinatura de WAF não substitui o patch.

A CrowdStrike relata exploração ativa desde 9 de agosto de 2025 voltada à exfiltração de dados de instâncias Oracle EBS — antes da divulgação pública da falha —, o que torna qualquer log de acesso HTTP não usual a componentes de BI Publisher/Concurrent Processing anterior a essa data um indicador relevante de comprometimento retroativo. Não há, nas fontes consultadas, indicadores de comprometimento (hashes, IPs, user-agents) publicados oficialmente pela Oracle ou pela CISA para esta CVE especificamente.

A existência de template Nuclei e módulo Metasploit indica que scanners automatizados de terceiros provavelmente geram tráfego de teste padronizado contra o endpoint vulnerável; equipes de SOC devem correlacionar picos de requisições HTTP a caminhos associados ao BI Publisher com falhas de autenticação ou respostas anômalas do servidor EBS. Na ausência de assinatura oficial, o controle mais confiável é auditar logs de acesso ao EBS no período de agosto a outubro de 2025 em busca de atividade fora do padrão de uso legítimo.