Набор уязвимостей в Oracle JD Edwards EnterpriseOne Tools затрагивает веб-среду, средства интеграции, подсистему диагностики и программу установки платформы. Часть проблем не требует учётных данных: обратившись по сети, атакующий читает, изменяет и удаляет данные, а в отдельных случаях получает полный контроль над системой. Затронута вся ветка 9.2, включая свежие сборки. Риск напрямую касается администраторов платформы и сервисов, которые обмениваются с ней данными.
Двадцать четыре CVE, включая Apache SOAP и OpenSSL
Проблемы сосредоточены в разных подсистемах, поэтому условия атаки различаются. Самый тяжёлый случай связан с обработкой SOAP-сообщений (SOAP - протокол обмена структурированными сообщениями между приложениями). Запрос по сети, без входа в систему и без участия пользователя, приводит к захвату платформы: оценка 9.8 из 10 по CVSS (общая система оценки уязвимостей). Второй по значимости случай - разбор криптографических сообщений в библиотеке OpenSSL, где переполнение буфера даёт отказ в обслуживании и, при удачном стечении обстоятельств, выполнение кода. Остальные проблемы требуют низких привилегий, доступа к локальному сегменту сети либо действий пользователя.
Перечень затронутых узлов широк: веб-среда выполнения, инфраструктура предприятия вместе с криптографией и службами каталогов, средства обмена с внешними системами, сборка пакетов, работа с базой данных и коммуникациями, мониторинг и диагностика, объекты и окружение, установка. Каждый узел закрывает свою задачу, поэтому и способы атаки не совпадают.
SOAP без проверки подлинности
Проблема CVE-2022-45378 пришла из библиотеки Apache SOAP: в конфигурации по умолчанию обработчик запросов отвечает без аутентификации, то есть без проверки подлинности клиента. Через него вызываются методы, доступные в окружении приложения, а при подходящем наборе классов возможен и запуск произвольного кода. Та же ошибка проходила по бюллетеням Oracle для Fusion Middleware в 2024 году, теперь она числится за JD Edwards EnterpriseOne Tools.
Атака идёт по сети через SOAP и HTTP. Учётные данные не нужны, участие пользователя не требуется. Описание ошибки опубликовано ещё в 2022 году, сканеры её распознают. Отдельная сложность в том, что сама библиотека Apache SOAP давно не поддерживается разработчиком, поэтому исправление целиком зависит от вендора платформы.
Переполнение буфера в OpenSSL
Проблема CVE-2025-15467 затрагивает OpenSSL версий с 3.0 по 3.6 - библиотеку шифрования, которую платформа использует в подсистеме Enterprise Infrastructure. При разборе сообщения CMS (формат криптографических сообщений) с шифрованием AEAD (шифрование с проверкой подлинности) вектор инициализации копируется в буфер фиксированного размера без проверки длины. Вектор инициализации - стартовые случайные данные, с которых начинается шифрование. Превышение длины даёт запись за границу буфера, причём до проверки подлинности сообщения, так что действующие ключи не нужны.
Итог - падение процесса, то есть отказ в обслуживании; выполнение кода зависит от средств защиты конкретной платформы. Ветки OpenSSL 1.1.1 и 1.0.2 этой ошибке не подвержены, сертифицированные модули FIPS тоже. Сама библиотека получила исправление в январе 2026 года - версии 3.0.19, 3.3.6, 3.4.4, 3.5.5 и 3.6.1. Та же ошибка прошла по бюллетеням Red Hat, Siemens и NetApp, так что по ней накоплено много публичных описаний.
Низкие привилегии, локальный доступ и соседний сегмент сети
Большая часть списка требует учётной записи с низкими правами и сетевого доступа по HTTP, HTTPS или JDENET (внутренний протокол обмена между компонентами JD Edwards). С такой позиции атакующий создаёт, изменяет и удаляет критические записи, а в подсистемах интеграции и веб-среде выполнения получает полный контроль над платформой. Конфиденциальные данные при этом остаются доступными для чтения.
Отдельные случаи выбиваются из общей схемы. Один требует входа в операционную систему узла, где работает платформа, то есть локального доступа. Два рассчитаны на подключение к физическому сегменту сети рядом с сервером. Ещё три срабатывают только при действии пользователя, например при открытии подготовленного файла.
Исправления и ограничения до установки патча
Oracle относит к уязвимым сборки с 9.2.0.0 по 9.2.26.5 включительно. Исправление выпускают для ветки 9.2: обновление ставится поверх 9.2.26.5, последней уязвимой сборки. Патч доступен по контракту поддержки через My Oracle Support, идентификатор документа CPU417, он входит в октябрьский критический набор обновлений 2026 года. Проблемы, связанные с установкой, затрагивают версии только по 9.2.26.4.
До установки патча доступ к платформе ограничивают на периметре: закрывают HTTP, HTTPS, SOAP, SMTP и JDENET для внешних адресов, оставляя их доверенным системам интеграции. Сегмент с сервером отделяют от общих пользовательских сетей. Учётные записи с низкими правами пересматривают и сокращают до необходимого минимума, поскольку именно они служат плацдармом для большинства описанных атак.
Сведений об эксплуатации этих уязвимостей в реальных атаках нет. EPSS (прогноз вероятности эксплуатации) для большинства из них держится ниже одного процента; исключение - проблема OpenSSL, у неё оценка около пятидесяти процентов. Порядок закрытия определяет доступность веб-интерфейса: для части атак не нужны ни вход в систему, ни действие пользователя, поэтому такие системы обновляют первыми.
Ссылки
