ShinyHunters द्वारा उपयोग किया गया Oracle PeopleSoft शून्य-दिवस दोष वास्तव में तीन जुड़े हुए दोष थे

a yellow ethernet cable on a blue background — Markus Spiske / Unsplash

ShinyHunters समूह ने मई से जिस गंभीर Oracle PeopleSoft बग का फायदा उठाया था, वह वास्तव में एक नहीं बल्कि एक साथ जुड़े हुए तीन दोष थे। यह जानकारी उन शोधकर्ताओं ने इस सप्ताह साझा की जिन्होंने इसकी रिपोर्ट की थी।

Oracle ने जून में इन तीनों दोषों को एक ही पहचानकर्ता, CVE-2026-35273 के तहत ठीक किया था। इस समस्या की जड़ एक सर्वर-साइड अनुरोध जालसाजी है जो एक आंतरिक प्रबंधन इंटरफेस तक पहुँचती है क्योंकि PeopleSoft डिफ़ॉल्ट रूप से अपने स्वयं के लूपबैक पते पर भरोसा करता है। यह स्थिति बिना लॉगिन के रिमोट कोड निष्पादन का रास्ता खोल देती है।

Zero Day Initiative के विश्लेषण के अनुसार, उन्होंने दो PeopleSoft घटकों में तीन अलग-अलग कमजोरियों की रिपोर्ट की थी। वे अब प्रत्येक के लिए एक अलग पहचानकर्ता आवंटित करने के लिए Oracle के साथ काम कर रहे हैं, हालांकि वर्तमान में केवल जून वाला एक ही पहचानकर्ता रिकॉर्ड पर है।

यह दोष PeopleSoft Enterprise PeopleTools के संस्करण 8.61 और 8.62 को प्रभावित करता है और इसका CVSS स्कोर 9.8 है। यह एक बिना प्रमाणित हमलावर को नेटवर्क के माध्यम से सर्वर पर नियंत्रण करने की अनुमति देता है। Oracle ने 10 जून को एक सुरक्षा अलर्ट के माध्यम से इसका समाधान जारी किया था। यह दोष CISA के ज्ञात शोषण वाले कमजोरियों के कैटलॉग में भी शामिल है।

हमलावरों ने इस समाधान के आने से पहले ही इसका उपयोग शुरू कर दिया था। Mandiant और Google Threat Intelligence Group ने इस अभियान का श्रेय UNC6240 समूह को दिया है, जिसे ShinyHunters के नाम से जाना जाता है। इस समूह ने 27 मई से 9 जून के बीच मुख्य रूप से विश्वविद्यालयों को निशाना बनाया। चूंकि यह गतिविधि 10 जून के परामर्श से पहले हुई थी, इसलिए यह पूरे समय एक शून्य-दिवस दोष बना रहा।

सितंबर में एक अनुवर्ती रिपोर्ट में Mandiant ने बताया कि इस हमले की एक नई और बड़ी लहर आई जिसने शिक्षा के अलावा प्रौद्योगिकी, आईटी सेवाओं, स्वास्थ्य सेवा, कृषि, परिवहन और सरकार तक विस्तार किया, जिससे दुनिया भर में दर्जनों प्रणालियाँ प्रभावित हुईं।

तकनीकी विश्लेषण बताता है कि इसमें दो घटक शामिल हैं: Integration Gateway, जो बाहरी प्रणालियों के साथ संदेशों का आदान-प्रदान करता है, और Environment Management Hub, जो एक आंतरिक व्यवस्थापक इंटरफेस है। हमलावर पहले घटक में सर्वर-साइड अनुरोध जालसाजी का उपयोग करके दूसरे घटक के आंतरिक इंटरफेस तक पहुँच जाते हैं। इसके बाद, वे या तो लॉग प्रविष्टियों के माध्यम से वेब शेल लिखकर या एक दुर्भावनापूर्ण XML फ़ाइल के माध्यम से कोड निष्पादित कर सकते हैं।

Mandiant ने पाया कि सितंबर की लहर के दौरान ShinyHunters ने यूआरएल-एनकोडिंग का उपयोग करके वेब एप्लिकेशन फ़ायरवॉल नियमों को चकमा दिया। यह स्पष्ट नहीं है कि पैच लगाने से उस पहुंच को हटाया जा सकता है जो हमलावर पहले ही प्राप्त कर चुके हैं, इसलिए Mandiant ने क्रेडेंशियल्स बदलने और वेब शेल की खोज करने का सुझाव दिया है।