آژانس امنیت سایبری و امنیت زیرساخت‌های آمریکا (CISA) روز جمعه یک آسیب‌پذیری بسیار جدی در Oracle Identity Manager را به فهرست «آسیب‌پذیری‌های شناخته‌شده و اکسپلویت شده» (KEV) اضافه کرد و اعلام کرد شواهدی مبنی بر اکسپلویت فعال از آن وجود دارد.
این نقص با شناسه CVE-2025-61757 و امتیاز CVSS: 9.8، نتیجه نبود احراز هویت برای یک عملکرد حیاتی است که می‌تواند به اجرای کد از راه دور و بدون نیاز به احراز هویت منجر شود. نسخه‌های 12.2.1.4.0 و 14.1.2.1.0 تحت تأثیر قرار دارند. اوراکل این مشکل را در به‌روزرسانی‌های فصلی ماه گذشته اصلاح کرده است.
CISA اعلام کرد:
«Oracle Fusion Middleware شامل یک آسیب‌پذیری ناشی از نبود احراز هویت برای یک تابع حیاتی است که به مهاجم غیرمجاز امکان می‌دهد کنترل Identity Manager را به دست بگیرد.»
نقص چگونه کار می‌کند؟
پژوهشگران Adam Kues و Shubham Shah از Searchlight Cyber که این نقص را کشف کرده‌اند می‌گویند این آسیب‌پذیری مهاجم را قادر می‌سازد به APIهای حساس دسترسی پیدا کرده و:
جریان‌های احراز هویت را دست‌کاری کند
سطح دسترسی را افزایش دهد
در شبکه سازمان حرکت افقی انجام دهد
این نقص ناشی از دور زدن یک فیلتر امنیتی است که با اضافه کردن مؤلفه‌هایی مانند:
?WSDL
;.wadl
به انتهای هر URI، مسیرهای محافظت‌شده را به‌عنوان مسیرهای عمومی شناسایی می‌کند. دلیل اصلی، پیاده‌سازی نادرست یک allow-list مبتنی بر regex و مطابقت رشته‌ای است.
پژوهشگران هشدار دادند:
«این سیستم مستعد خطا است و معمولاً راه‌هایی وجود دارد که فیلتر را فریب دهیم تا مسیرهای حساس را عمومی تصور کند.»
چگونه به اجرای کد می‌رسد؟
مهاجم می‌تواند پس از دور زدن احراز هویت، یک درخواست POST به مسیر زیر ارسال کند:
/iam/governance/applicationmanagement/api/v1/applications/groovyscriptstatus
این endpoint قرار است فقط نحو کد Groovy را بررسی کند، اما پژوهشگران نشان دادند که می‌توان یک annotation نوشت که در زمان کامپایل اجرا می‌شود — حتی اگر خود کد اجرا نشود. همین موضوع اجرای کد از راه دور را امکان‌پذیر می‌کند.
نشانه‌هایی از اکسپلویت قبل از انتشار پچ
چند روز قبل، Johannes Ullrich از مؤسسه SANS اعلام کرد که در بازه ۳۰ اوت تا ۹ سپتامبر ۲۰۲۵ چندین تلاش برای ارسال POST به همان URL مشاهده شده است:
/iam/governance/applicationmanagement/api/v1/applications/groovyscriptstatus;.wadl
همه تلاش‌ها دارای user-agent یکسان و بدون body قابل‌مشاهده بودند، که احتمال وجود یک مهاجم واحد را تقویت می‌کند.
این یعنی این نقص به احتمال زیاد یک روز-صفر فعال بوده و مهاجمان پیش از انتشار پچ از آن سوءاستفاده کرده‌اند.
IPهای مرتبط با حملات کشف‌شده
89.238.132[.]76
185.245.82[.]81
138.199.29[.]153
مهلت سازمان‌های دولتی آمریکا برای پچ
CISA به نهادهای دولتی فدرال دستور داده است که حداکثر تا ۱۲ دسامبر ۲۰۲۵ این آسیب‌پذیری را پچ کنند.
