• Saltar a la navegación principal
  • Saltar al contenido principal
S2GRUPO

Empresa Española Especializada en Ciberseguridad

  • Empresa
    • Sobre nosotros
    • Equipo directivo
    • RSE
    • Reconocimientos
  • Especialización
    • OT Industrial
    • IT
    • OT Salud
  • Soluciones
  • I+D+i
    • I+D
    • S2X
  • Talento
  • Noticias y publicaciones
  • Contacto
  • facebook
  • twitter
  • instagram
  • linkedin
|
es arrow down
  • en
© 2025 S2 Grupo
Alertas

Vulnerabilidades críticas en Oracle 2025

06 Oct 2025

Vulnerabilidad crítica - 06/10

Introducción

CVE-2025-61882 está siendo aprovechada por actores maliciosos en campañas de robo de datos y extorsión. En particular, se ha reportado su uso por el grupo Clop en ataques contra instalaciones de Oracle EBS. En los ataques observados se han usado indicadores de compromiso (IOCs) publicados por Oracle para ayudar en la detección y mitigación de los sistemas comprometidos.

Análisis

CVE-2025-61882 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - 9,8

CVE-2025-61882 es una vulnerabilidad en Oracle E-Business Suite, concretamente en el componente “Concurrent Processing / BI Publisher Integration”. Es remotamente explotable sin necesidad de autenticación, es decir, un atacante puede enviar peticiones maliciosas directamente desde red hacia el sistema vulnerable sin credenciales. Si se explota con éxito, permite ejecución de código remoto (RCE), lo que puede llevar a la toma completa del componente de Concurrent Processing, comprometiendo confidencialidad, integridad y disponibilidad del sistema. La explotación exitosa de esta vulnerabilidad puede dar control completo del componente afectado, lo que podría permitir escalar privilegios o comprometer otros subsistemas dependientes.

Versiones afectadas

Afecta a las versiones de Oracle EBS 12.2.3 hasta 12.2.14.

Recomendaciones

Oracle ha publicado un Security Alert con el parche correspondiente para esta vulnerabilidad. Como requisito, el Critical Patch Update de octubre de 2023 debe estar aplicado antes de poder instalar este parche de emergencia.

Workarounds

No hay workarounds para esta vulnerabilidad.

Referencias

  • https://www.oracle.com/security-alerts/alert-cve-2025-61882.html
  • https://www.bleepingcomputer.com/news/security/oracle-patches-ebs-zero-day-exploited-in-clop-data-theft-attacks/
  • https://www.securityweek.com/oracle-says-known-vulnerabilities-possibly-exploited-in-recent-extortion-attacks/

Vulnerabilidad crítica - 13/10

Introducción

CVE-2025-61884 es una vulnerabilidad de alta severidad en el componente Runtime UI del Oracle Configurator dentro de Oracle E-Business Suite (EBS). Permite a un atacante remotamente y sin autenticación interactuar con el componente a través de HTTP y, si se explota con éxito, obtener acceso no autorizado a datos críticos o incluso a la totalidad de la información accesible por el Configurator.

Análisis

CVE-2025-61884 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - 7,5

CVE-2025-61884 podría provenir de un bypass de autenticación o validación insuficiente: se ha identificado que peticiones HTTP sin credenciales pueden acceder a recursos protegidos del Configurator. La UI devuelve información más allá de lo que debería permitirse a usuarios no autenticados. Esta exposición de información sensible permite al atacante ver datos internos del sistema que normalmente requieren autenticación.

Versiones afectadas

Afecta a las versiones 12.2.3 hasta 12.2.14 de Oracle EBS.

Recomendaciones

  • Instalar elSecurity Alert con parches para CVE-2025-61884 para las versiones afectadas
  • Oracle advierte que versiones anteriores a 12.2.3 o fuera de soporte pueden también verse afectadas aunque no tengan parches disponibles. En esos casos, la estrategia debe contemplar migrar a versiones compatibles con soporte

Workarounds

No hay workarounds para esta vulnerabilidad.

Referencias

  • https://www.oracle.com/security-alerts/alert-cve-2025-61884.html
  • https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2025-61884
  • https://thehackernews.com/2025/10/new-oracle-e-business-suite-bug-could.html

  • Facebook
  • Twitter
  • LinkedIn
Artículos relacionados
Vulnerabilidades críticas en Figma MCP 2025
Leer más →
Vulnerabilidades críticas en Lanscope Endpoint Manager en 2025
Leer más →
Vulnerabilidades críticas en TP-Link en 2025
Leer más →

Síguenos en nuestra newsletter

Suscríbete a través de tu email para estar al día

S2GRUPO
© 2025 S2 Grupo
  • Central de prensa
  • Aviso legal
  • Política de Privacidad
  • Política de Cookies
  • Canal Ético
  • Política de Innovación