Google staðfestir að ShinyHunters nýttu sér nýjan veikleika í Oracle PeopleSoft til að stela gögnum

Tölvuþrjótahópurinn ShinyHunters nýtti sér alvarlegan veikleika í Oracle ↘ 4.64% PeopleSoft til að brjótast inn í yfir 100 stofnanir á milli maíloka og byrjunar júní, þar sem háskólar urðu verst úti í herferð sem afhjúpaði hundruð þúsunda nemendaskráa áður en Oracle gaf út neyðartilkynningu.

Veikleikinn og herferðin

Oracle gaf út öryggistilkynningu þann 10. júní vegna CVE-2026-35273, veikleika sem gerir kleift að keyra kóða í fjartengingu í PeopleSoft Enterprise PeopleTools útgáfum 8.61 og 8.62, með CVSS-einkunnina 9.8. Veikleikinn, sem er í Updates Environment Management-hlutanum, krefst engrar auðkenningar eða samskipta við notanda — aðeins netaðgangs í gegnum HTTP — til að ná fullri stjórn á kerfinu.fieldeffect+3

Mandiant og Threat Intelligence Group hjá Google staðfestu að ShinyHunters, sem er fylgst með undir nafninu UNC6240, nýtti sér veikleikann á milli 27. maí og 9. júní. Google tilkynnti yfir 100 stofnunum að kerfi þeirra væru í hættu, þar sem 68% voru í háskólageiranum, flestar í Bandaríkjunum. ShinyHunters segist hafa ráðist á um 300 PeopleSoft-tilvik í skýja- og staðbundnu umhverfi.thehackernews+2

Charles Carmakal, tæknistjóri hjá Mandiant, staðfesti að veikleikinn væri í notkun, á meðan Zero Day Initiative hjá Trend Micro — sem Oracle þakkaði fyrir að tilkynna um veikleikann — sagði við SecurityWeek að þeir „sjái nú takmarkaða notkun“ og rannsókn sé í gangi.securityweek+1

Háskólinn í Nottingham meðal fórnarlamba

Háskólinn í Nottingham staðfesti að hann væri meðal þeirra sem urðu fyrir barðinu á árásinni. „Háskólinn í Nottingham hefur orðið fyrir tölvuárás og þekktur tölvuþrjótahópur hefur fengið aðgang að verulegu magni gagna í nemendaskráarkerfi okkar,“ sagði talsmaður við The Register.theregister

ShinyHunters fullyrti að hafa stolið um 40 GB af gögnum, þar á meðal reikningum, kreditkortaupplýsingum og fjárhagsupplýsingum nemenda. Tilkynningaþjónustan Have I Been Pwned bætti leku gögnunum við gagnagrunn sinn og greindi frá því að um 454.600 einstök netföng hefðu verið afhjúpuð ásamt nöfnum, heimilisföngum, símanúmerum, þjóðerni, fötlunum og vegabréfanúmerum.haveibeenpwned+1

Mótvægisaðgerðir án fullrar lagfæringar

Oracle hefur ekki gefið út fulla lagfæringu. Leiðbeiningar þeirra beinast að því að slökkva á Environment Management Hub-þjónustunni í fjölþjóna-uppsetningum eða fjarlægja PSEMHUB-forritið í eins þjóna-uppsetningum. Stofnanir sem geta ekki gert þetta ættu að loka fyrir utanaðkomandi aðgang að /PSEMHUB/* og /PSIGW/HttpListeningConnector-endapunktum við jaðarinn. Mandiant varaði við því að eldveggsreglur fyrir vefforrit einar og sér væru ófullnægjandi, þar sem hægt væri að komast framhjá þeim.thehackernews+1

Öryggissérfræðingar ráðleggja tafarlausa yfirferð á annálum fyrir utanaðkomandi POST-beiðnir til viðkomandi endapunkta, óvæntar .jsp-skrár í möppum vefforrita og útleiðandi SMB-umferð á porti 445 frá PeopleSoft-hýsingum.pathlock+1