CVE-2025-53037

Pominięcie uwierzytelnienia w Oracle Financial Services Analytical Applications Infrastructure

CVSS 9.8v3.1pub. 2025-10-21upd. 2025-10-23

Krytyczna podatność w komponencie Platform produktu Oracle Financial Services Analytical Applications Infrastructure umożliwia nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad systemem przez sieć HTTP. Ze względu na brak wymaganych uprawnień i interakcji użytkownika podatność jest wyjątkowo łatwa do wykorzystania.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Financial Services Analytical Applications Infrastructure product of Oracle Financial Services Applications (component: Platform). Supported versions that are affected are 8.0.7.9, 8.0.8.7 and 8.1.2.5. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Financial Services Analytical Applications Infrastructure. Successful attacks of this vulnerability can result in takeover of Oracle Financial Services Analytical Applications Infrastructure. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Podatność klasyfikowana jako CWE-306 (Missing Authentication for Critical Function) oznacza, że krytyczne funkcje komponentu Platform są dostępne bez jakiegokolwiek uwierzytelnienia. Atakujący z dostępem sieciowym do systemu może wysyłać żądania HTTP bezpośrednio do chronionych zasobów, omijając mechanizmy kontroli dostępu. Nie są wymagane żadne poświadczenia ani interakcja po stronie użytkownika, co czyni atak w pełni zautomatyzowalnym.

Skutki

Skuteczne wykorzystanie podatności prowadzi do całkowitego przejęcia systemu Oracle Financial Services Analytical Applications Infrastructure, w tym naruszenia poufności, integralności i dostępności danych. Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych finansowych i analitycznych, modyfikować je oraz powodować niedostępność usługi (DoS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w ramach Oracle Critical Patch Update z października 2025 roku: https://www.oracle.com/security-alerts/cpuoct2025.html. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do komponentu Platform wyłącznie do zaufanych hostów na poziomie firewall oraz monitorowanie ruchu HTTP kierowanego do systemu.