Η Google επιβεβαιώνει ότι η ShinyHunters εκμεταλλεύτηκε zero-day ευπάθεια στο Oracle PeopleSoft για κλοπή δεδομένων

Η ομάδα χάκερ ShinyHunters εκμεταλλεύτηκε μια κρίσιμη ευπάθεια zero-day στο Oracle ↗ 1.20% PeopleSoft για να παραβιάσει περισσότερους από 100 οργανισμούς μεταξύ τέλους Μαΐου και αρχών Ιουνίου, με τα πανεπιστήμια να δέχονται το μεγαλύτερο πλήγμα μιας εκστρατείας που εξέθεσε εκατοντάδες χιλιάδες αρχεία φοιτητών πριν η Oracle εκδώσει επείγουσα προειδοποίηση.

Η ευπάθεια και η εκστρατεία

Η Oracle εξέδωσε μια έκτακτη ειδοποίηση ασφαλείας στις 10 Ιουνίου για το CVE-2026-35273, ένα σφάλμα απομακρυσμένης εκτέλεσης κώδικα στις εκδόσεις 8.61 και 8.62 του PeopleSoft Enterprise PeopleTools, με βαθμολογία CVSS 9,8. Η ευπάθεια, η οποία εντοπίζεται στο στοιχείο Updates Environment Management, δεν απαιτεί έλεγχο ταυτότητας ούτε αλληλεπίδραση με τον χρήστη — παρά μόνο πρόσβαση στο δίκτυο μέσω HTTP — για την επίτευξη πλήρους κατάληψης του συστήματος.fieldeffect+3

Η Mandiant και η Ομάδα Πληροφοριών Απειλών της Google επιβεβαίωσαν ότι η ShinyHunters, η οποία παρακολουθείται εσωτερικά ως UNC6240, εκμεταλλεύτηκε το σφάλμα μεταξύ 27 Μαΐου και 9 Ιουνίου. Η Google ειδοποίησε περισσότερους από 100 οργανισμούς των οποίων τα συστήματα ταίριαζαν με τα ευάλωτα τελικά σημεία, με το 68% να ανήκει στον τομέα της τριτοβάθμιας εκπαίδευσης, κυρίως στις Ηνωμένες Πολιτείες. Η ShinyHunters ισχυρίζεται ότι στόχευσε περίπου 300 περιπτώσεις PeopleSoft σε περιβάλλοντα cloud και on-premises.thehackernews+2

Ο CTO της Mandiant, Charles Carmakal, επιβεβαίωσε την εκμετάλλευση στην πράξη, ενώ η Zero Day Initiative της Trend Micro — στην οποία η Oracle απέδωσε τα εύσημα για την αναφορά του σφάλματος — δήλωσε στο SecurityWeek ότι «επί του παρόντος παρατηρεί περιορισμένη εκμετάλλευση» με την έρευνα να βρίσκεται σε εξέλιξη.securityweek+1

Το Πανεπιστήμιο του Νότιγχαμ μεταξύ των θυμάτων

Το Πανεπιστήμιο του Νότιγχαμ επιβεβαίωσε ότι ήταν μεταξύ των θυμάτων της παραβίασης. «Το Πανεπιστήμιο του Νότιγχαμ υπήρξε θύμα κυβερνοεπίθεσης και σημαντικός όγκος δεδομένων στο σύστημα αρχείων των φοιτητών μας έχει προσπελαστεί από μια γνωστή ομάδα κυβερνοεγκληματιών», δήλωσε εκπρόσωπος στο The Register.theregister

Η ShinyHunters ισχυρίστηκε ότι έκλεψε περίπου 40 GB δεδομένων, συμπεριλαμβανομένων αρχείων χρέωσης, στοιχείων πιστωτικών καρτών και πληροφοριών χρηματοδότησης φοιτητών. Η υπηρεσία ειδοποίησης παραβιάσεων Have I Been Pwned πρόσθεσε το διαρρεύσαν σύνολο δεδομένων στη βάση της, αναφέροντας περίπου 454.600 μοναδικές διευθύνσεις email που εκτέθηκαν μαζί με ονόματα, διευθύνσεις, αριθμούς τηλεφώνου, εθνικότητες, αναπηρίες και αριθμούς διαβατηρίων.haveibeenpwned+1

Μέτρα μετριασμού χωρίς πλήρη ενημέρωση κώδικα

Η Oracle δεν έχει κυκλοφορήσει πλήρη ενημέρωση κώδικα. Η καθοδήγησή της επικεντρώνεται στην απενεργοποίηση της υπηρεσίας Environment Management Hub σε ρυθμίσεις πολλαπλών διακομιστών ή στην κατάργηση της εφαρμογής PSEMHUB σε αναπτύξεις ενός διακομιστή. Οι οργανισμοί που δεν μπορούν να το πράξουν θα πρέπει να αποκλείσουν την εξωτερική πρόσβαση στα τελικά σημεία /PSEMHUB/* και /PSIGW/HttpListeningConnector στην περίμετρο. Η Mandiant προειδοποίησε ότι οι κανόνες τείχους προστασίας εφαρμογών ιστού από μόνοι τους δεν επαρκούν, καθώς μπορούν να παρακαμφθούν.thehackernews+1

Οι ερευνητές ασφαλείας συμβουλεύουν τον άμεσο έλεγχο των αρχείων καταγραφής για εξωτερικά αιτήματα POST προς τα επηρεαζόμενα τελικά σημεία, για απροσδόκητα αρχεία .jsp σε καταλόγους εφαρμογών ιστού και για εξερχόμενη κίνηση SMB στη θύρα 445 από κεντρικούς υπολογιστές PeopleSoft.pathlock+1