Corrección de una vulnerabilidad crítica
Oracle ha anunciado la corrección de una vulnerabilidad crítica en su producto Oracle E-Business Suite, identificada como CVE-2025-61882. Esta falla permite a los atacantes ejecutar código remoto sin necesidad de autenticación, lo que facilita el acceso no autorizado a sistemas vulnerables.
Vulnerabilidad en Oracle Concurrent Processing
La vulnerabilidad se encuentra en el componente BI Publisher Integration del producto Oracle Concurrent Processing. La falta de mecanismos de autenticación y la facilidad para explotarla son los factores que permiten su aprovechamiento por parte de actores maliciosos.
«Esta vulnerabilidad se puede explotar de forma remota sin autenticación; es decir, puede explotarse a través de una red sin necesidad de nombre de usuario ni contraseña. Si se explota con éxito, puede provocar la ejecución remota de código», explica Oracle en su documento técnico.
Actualización de emergencia y requisitos previos
Oracle ha confirmado que la vulnerabilidad afecta a las versiones 12.2.3-12.2.14 del E-Business Suite. La compañía ha publicado una actualización de emergencia para corregir el fallo, pero advierte que los clientes deben instalar primero la actualización de parches críticos de octubre de 2023 antes de poder aplicar las nuevas correcciones.
Dado que existe un exploit PoC público y que el fallo se está explotando activamente, es crucial que los administradores de Oracle instalen la actualización de seguridad lo antes posible.
Explotada en ataques de robo de datos Clop
Oracle no ha declarado explícitamente que se trata de una vulnerabilidad de día cero, pero sí compartió indicadores de compromiso relacionados con un exploit de Oracle EBS compartido recientemente por actores de amenazas en Telegram.
Charles Carmakal, director de tecnología de Mandiant – Google Cloud, confirmó que esta fue la falla explotada por el grupo de ransomware Clop en los ataques de robo de datos ocurridos en agosto de 2025. «Clop explotó múltiples vulnerabilidades en Oracle EBS, lo que les permitió robar grandes cantidades de datos de varias víctimas en agosto de 2025», declaró Carmakal a BleepingComputer.
CVE-2025-61882 y su explotación
La noticia de la última campaña de extorsión de Clop se conoció por primera vez la semana pasada, cuando Mandiant y Google Threat Intelligence Group (GTIG) informaron que estaban rastreando una nueva campaña en la que varias empresas recibieron correos electrónicos que afirmaban ser de los actores de la amenaza.
Estos correos electrónicos afirmaban que Clop había robado datos de los sistemas Oracle E-Business Suite de la empresa y exigía un rescate para no filtrarlos. «Recientemente hemos vulnerado su aplicación Oracle E-Business Suite y copiado numerosos documentos. Todos los archivos privados y demás información se encuentran ahora en nuestros sistemas».
Exploit filtrado por actores de amenazas
El viernes, actores autodenominados «Scattered Lapsus$ Hunters», afirmando estar compuestos por actores de amenazas de Scattered Spider, Lapsus$ y ShinyHunters, filtraron dos archivos en Telegram que, según afirman, estaban relacionados con los ataques de Clop.
Un archivo llamado «GIFT_FROM_CL0P.7z» contiene código fuente de Oracle que, según los nombres de archivo, parece estar relacionado con «support.oracle.com». Sin embargo, los actores también publicaron un archivo comprimido «ORACLE_EBS_NDAY_EXPLOIT_POC_SCATTERED_LAPSUS_RETARD_CL0P_HUNTERS.zip», cuyo nombre insinúa que era el exploit de Oracle E-Business utilizado por Clop.
BleepingComputer ha confirmado que se trata del mismo archivo que figura en los indicadores de vulnerabilidad de Oracle.
Este archivo contiene un archivo de instrucciones «readme.md» y dos scripts de Python llamados «exp.py» y «server.py». Estos scripts se utilizan para explotar una instancia vulnerable de Oracle E-Business Suite y ejecutar un comando arbitrario o abrir una shell inversa a los servidores del actor de amenazas. Como los IOC compartidos por Oracle incluyen el nombre del archivo del exploit compartido por Scattered Lapsus$ Hunters, se confirma que este es el exploit utilizado por el grupo de ransomware Clop.
Esto plantea interrogantes sobre cómo los actores de la amenazas Scattered Lapsus$ Hunters accedieron al exploit y si colaboran de alguna manera con Clop.