ShinyHunters maakte gebruik van drie gekoppelde kwetsbaarheden in Oracle PeopleSoft

Tweezers placing a small black microchip onto a green circuit board — Vishnu Mohanan / Unsplash

De groep ShinyHunters heeft gebruikgemaakt van een kritieke fout in Oracle PeopleSoft die in werkelijkheid bestaat uit drie aan elkaar gekoppelde kwetsbaarheden. Onderzoekers die de fout rapporteerden, maakten deze week bekend dat het niet om één enkel probleem ging.

Oracle heeft alle drie de kwetsbaarheden in juni opgelost onder één identificatiecode, CVE-2026-35273. De basis van het probleem is een server-side request forgery, wat een vorm van server-side verzoekvervalsing is. Deze fout geeft toegang tot een interne beheerinterface omdat PeopleSoft standaard het eigen loopback-adres vertrouwt, waardoor code op afstand kan worden uitgevoerd zonder dat er een aanmelding nodig is.

De kwetsbaarheid heeft betrekking op PeopleSoft Enterprise PeopleTools versies 8.61 en 8.62 en heeft een CVSS-score van 9.8. Het stelt een niet-geauthenticeerde aanvaller in staat om via het netwerk de controle over de server over te nemen. Oracle bracht op 10 juni een beveiligingswaarschuwing uit met een oplossing. De fout staat op de lijst van bekende benutte kwetsbaarheden van CISA.

De groep ShinyHunters, door Mandiant en Google Threat Intelligence Group ook gevolgd als UNC6240, maakte gebruik van de fout tussen 27 mei en 9 juni, voornamelijk bij universiteiten. Omdat deze activiteiten plaatsvonden vóór de waarschuwing van Oracle, was er sprake van een zero-day kwetsbaarheid. In september werd een nieuwe en grotere golf van aanvallen gemeld die zich uitbreidde naar sectoren zoals technologie, gezondheidszorg, landbouw, transport, overheid en IT-diensten, waarbij tientallen systemen wereldwijd werden getroffen.

De analyse van Zero Day Initiative laat zien dat twee componenten van PeopleSoft betrokken zijn: de Integration Gateway en de Environment Management Hub. De eerste component bevat de fout in de server-side verzoekvervalsing. De tweede component vertrouwt standaard het lokale loopback-adres, waardoor de interne interface van buitenaf bereikbaar wordt. Van daaruit kan een aanvaller op twee manieren code uitvoeren: door een web shell in de applicatiemap te schrijven via een logboekfunctie, of door een kwaadaardig XML-bestand te uploaden dat wordt gelezen wanneer de service start.

Mandiant ontdekte dat ShinyHunters in de septembergolf web application firewall regels omzeilde door één teken in het URL-pad te coderen. Hoewel veel beveiligingsregels zoeken naar platte tekst, decodeert de PeopleSoft server dit en serveert de pagina alsnog. Het is onduidelijk of het installeren van de patch toegang verwijdert die een aanvaller al had verkregen, aangezien de waarschuwing van Oracle dit niet vermeldt en Mandiant adviseert om inloggegevens te wijzigen en te zoeken naar web shells.