Britische Unternehmen sollen Oracle-Sicherheitslücke sofort schließen

Das NCSC fordert Unternehmen in Großbritannien auf, unverzüglich Maßnahmen zur Behebung einer Sicherheitslücke (CVE-2025-61882) in der Oracle E-Business Suite zu ergreifen.

Was ist passiert?

Oracle hat ein Sicherheitsupdate veröffentlicht, um eine nicht authentifizierte Remote-Sicherheitslücke (CVE-2025-61882) zu beheben, die Oracle E-Business Suite (EBS) betrifft. Diese Sicherheitslücke wird aktiv ausgenutzt und kann die Ausführung von Remote-Code ermöglichen.

CVE-2025-61882 ist eine Sicherheitslücke in der BI Publisher Integration-Komponente von Oracle Concurrent Processing innerhalb der Oracle E-Business Suite. Ein nicht authentifizierter Angreifer kann speziell gestaltete HTTP-Anfragen an die betroffene Komponente senden, was zu einer vollständigen Kompromittierung des Systems führen kann. Eine Interaktion des Benutzers ist nicht erforderlich.

Das NCSC wird weiterhin beobachten, ob diese Sicherheitslücke Auswirkungen auf britische Unternehmen hat.

Wer ist betroffen?

Betroffen sind Unternehmen, die Oracle E-Business Suite (EBS) in den Versionen 12.2.3 bis 12.2.14 verwenden. Unternehmen, die Oracle EBS mit dem Internet verbunden haben, sind am stärksten gefährdet.

Was soll ich tun?

Das NCSC empfiehlt, die Best-Practice-Empfehlungen des Anbieters zur Minderung von Schwachstellen zu befolgen. Wenn Sie Oracle EBS verwenden, sollten Sie in diesem Fall die folgenden vorrangigen Maßnahmen ergreifen:

Führen Sie eine Kompromittierungsbewertung durch. IoCs wurden in der Oracle-Empfehlung veröffentlicht.
Wenn Sie glauben, dass Sie kompromittiert wurden, sollten Sie sich an Oracle PSIRT wenden und, wenn Sie sich in Großbritannien befinden, dies auch dem NCSC melden.
Installieren Sie das neueste Oracle E-Business Suite (EBS)-Update. Vor diesem Update muss zunächst das Critical Patch Update vom Oktober 2023 installiert werden.
Führen Sie eine kontinuierliche Netzwerküberwachung und Bedrohungssuche durch.
Das NCSC empfiehlt, nur ein Minimum an Software direkt über das öffentliche Internet zugänglich zu machen. Wenn Oracle EBS mit dem Internet verbunden sein muss, sollten die entsprechenden Oracle-Bereitstellungsrichtlinien befolgt werden. Das NCSC bietet Leitlinien zur Sicherung von Netzwerkperimetern und einen Blogbeitrag mit dem Titel „Produkte in Ihrem Perimeter gelten als schädlich (bis das Gegenteil bewiesen ist)”.