Oracle E-Business Suite’da topilgan xavfli SSRF zaifligi: tashkilotlar uchun jiddiy ogohlantirish

Kiberxavfsizlik dunyosida yana bir xavfli zaiflik yuzaga chiqdi. AQShning Kiberxavfsizlik va Infratuzilmani Himoya Agentligi (CISA) Oracle E-Business Suite tizimida aniqlangan va hozirda faol ekspluatatsiya qilinayotgan Server-Side Request Forgery (SSRF) zaifligi haqida favqulodda ogohlantirish e’lon qildi.

Mazkur zaiflik CVE-2025-61884 identifikatori ostida qayd etilgan bo‘lib, u Oracle Configurator’ning Runtime komponentiga taalluqlidir. Ushbu kamchilikni ekspluatatsiya qilgan xakerlar autentifikatsiyasiz holda serverga soxta so‘rovlar yuborish imkoniyatiga ega bo‘lishadi, bu esa ruxsatsiz kirish, ma’lumotlarni o‘g‘irlash yoki ichki tizimlarga kirish uchun eshik ochadi.

Zaiflikning sababi va xavf darajasi

Mazkur kamchilikning ildizi — kiruvchi so‘rovlarning to‘liq tekshirilmasligi. Bu esa hujumchilarga serverni ichki yoki tashqi manbalarga so‘rov yuborishga majbur qilish imkonini beradi. Natijada, xakerlar tarmoqni skanerlash, firewall himoyasini chetlab o‘tish yoki bulutli metadata xizmatlariga kirish kabi zararli harakatlarni amalga oshirishi mumkin.

CISA ushbu zaiflikni o‘zining Known Exploited Vulnerabilities (KEV) ro‘yxatiga kiritdi. Bu degani, ushbu zaiflik nafaqat nazariy, balki haqiqiy hujumlarda qo‘llanilmoqda. Tadqiqotchilarning so‘zlariga ko‘ra, bu SSRF hujumlari tizimlararo harakatlanish (lateral movement) yoki ta’minot zanjiri (supply chain) orqali chuqurroq kirish uchun “ilk bosqich” sifatida ishlatilmoqda.

Real holatlar va tahdid manzarasi

CISA ma’lumotlariga ko‘ra, Osiyo-Tinch okeani mintaqasida joylashgan ba’zi korxonalar, ayniqsa moliya, ishlab chiqarish va davlat sektori vakillari, eskirgan E-Business Suite versiyalarida ushbu zaiflik orqali nishonga olingan. Bu esa korporativ ERP tizimlarining qanday chuqur integratsiyalashganini va ular orqali oqayotgan maxfiy ma’lumotlar qanchalik muhim ekanini yana bir bor isbotlaydi.

Hozircha bu zaiflik to‘g‘ridan-to‘g‘ri ransomware kampaniyalari bilan bog‘lanmagan, biroq tajovuzkorlar foydalanayotgan taktikalar so‘nggi yillarda kuzatilgan supply chain hujumlari bilan o‘xshashdir.

Oracle tomonidan tuzatishlar va himoya choralari

Oracle kompaniyasi ushbu muammoni 2025-yil oktabr oyidagi Critical Patch Update tarkibida bartaraf etganini ma’lum qildi. Biroq, yangilashni amalga oshirmagan tizimlar hozirda eng asosiy nishonlardan biri bo‘lib qolmoqda.

CISA tashkilotlarni quyidagi chora-tadbirlarni kechiktirmasdan amalga oshirishga chaqirmoqda:

  1. Oracle tomonidan taqdim etilgan yamoqlarni (patch) darhol o‘rnatish.
  2. Tarmoqni segmentatsiya qilish va veb-ilova xavfsizlik devorlarini (WAF) SSRF so‘rovlarini aniqlashga moslash.
  3. Bulut infratuzilmasi foydalanuvchilari uchun Binding Operational Directive (BOD) 22-01 talablariga amal qilish.
  4. Agar yangilash imkoni bo‘lmasa, ta’sirlangan tizimlardan vaqtincha foydalanishni to‘xtatish.
  5. Loglarni tahlil qilish va g‘ayrioddiy chiqish trafigini (outbound traffic) kuzatish.

Mutaxassislar, shuningdek, Nessus yoki OpenVAS kabi skanerlar yordamida zaifliklarni aniqlashni, tarmoqdagi barcha kirish-chiqish faoliyatini doimiy monitoring ostida saqlashni tavsiya etmoqda.

Oracle E-Business Suite kabi korporativ tizimlar biznes jarayonlarning yuragi hisoblanadi. Ularning har qanday zaifligi — bu nafaqat texnik nosozlik, balki moliyaviy yo‘qotishlar, ma’lumotlar sizishi va obro‘ga putur yetkazuvchi xavfdir.

CISA’ning bu ogohlantirishi esa shunchaki eslatma emas — bu har bir tashkilot uchun real signal: kiberhujumlar tobora murakkablashib borayotgan bir paytda, faqat yangilangan, monitoring ostidagi va qat’iy boshqarilayotgan tizimlargina xavfsiz qoladi.