В продуктах Oracle Communications закрыто 110 уязвимостей, и большинство из них эксплуатируются по сети без учётных данных. Проблемы затрагивают Unified Assurance, Cloud Native Core Security Edge Protection Proxy, Service Catalog and Design и Operations Monitor. Это серверные и облачные компоненты, на которых операторы связи держат тарификацию, мониторинг и управление политиками доступа. Последствия разные: от чтения закрытых данных до полной остановки сервиса.
Состав октябрьского набора исправлений Oracle Communications
Oracle выпускает такие наборы раз в квартал, и октябрьский оказался одним из самых крупных. Уязвимости делятся на несколько классов. Внедрение кода позволяет выполнить собственные команды в процессе приложения. Переполнение буфера в стеке и в куче даёт записать данные за границы выделенной памяти. Обход каталога выводит чтение файлов за пределы разрешённой директории, а использование памяти после освобождения обращается к уже отданному участку.
Семьдесят семь проблем из ста десяти эксплуатируются удалённо и не требуют аутентификации. Для остальных нужен предварительный доступ или действие пользователя. Вектор атаки почти везде сетевой: запрос приходит по HTTP, HTTPS, DNS, RMI или TLS. Локальный доступ остаётся там, где уязвимость затрагивает библиотеку внутри процесса. Максимальная оценка в наборе достигает 9,8 из 10 по шкале CVSS.
Исправления вышли для Unified Assurance 6.1.1-7.0.0, Cloud Native Core Console 25.2.202 и 26.1.200, Cloud Native Core Binding Support Function 25.2.201, Service Catalog and Design 8.0-8.1 и EAGLE Element Management System 47.0.0.2.0. Отдельные наборы получили Billing and Revenue Management и BRM Elastic Charging Engine версий 15.0-15.2. Патчи собраны в октябрьском бюллетене Oracle и доступны подписчикам поддержки.
Сторонние библиотеки в Unified Assurance
Значительная часть проблем пришла из библиотек, которые Oracle поставляет в составе своих продуктов. В Unified Assurance накопились уязвимости Netty, Apache FreeMarker, Apache Shiro, libxml2, Node.js и Perl. Каждая закрыта в своей версии: Netty - в 4.1.137 и 4.2.17, libxml2 - в 2.11.0, Apache Tomcat - в 9.0.121, 10.1.58 и 11.0.25.
В Netty ошибка разбора первого сообщения TLS обходит обязательную взаимную аутентификацию (CVE-2026-75595). Взаимная аутентификация - это проверка клиентского сертификата на стороне сервера. Если правило задано только для конкретного имени узла, а контекст по умолчанию сертификат не требует, атакующий проходит на защищённый маршрут без него. Вторая ошибка той же библиотеки заставляет процессор заново копировать уже полученные фрагменты сообщения и замедляет обслуживание остальных клиентов.
Собственные компоненты Oracle тоже дают поводы для обновления. В серверной части Billing and Revenue Management неаутентифицированный запрос по HTTP открывает доступ к критичным данным и позволяет их менять (CVE-2026-101765). В Cloud Native Core Policy уязвимость модуля mod_ldap в Apache HTTP Server приводит к использованию памяти после освобождения. В облачных компонентах ядра сети повторяются ошибки glibc и libxml2.
Прошлые наборы для этой линейки устроены похоже. В июльском бюллетене 2025 года разбирали ошибку в Apache Commons BeanUtils, и та же библиотека снова возникает в отчётах этого квартала. Крупные продукты включают десятки сторонних компонентов, поэтому часть ошибок переходит из выпуска в выпуск.
Сведений об эксплуатации этих уязвимостей в реальных атаках Oracle не приводит. Оценки вероятности по EPSS для отдельных записей не превышают двух процентов. Массовой охоты за ними пока нет.
Обновление ставится штатными средствами: через Oracle Support для приложений и через пакеты операционной системы для библиотек. Облачные компоненты закрываются заменой контейнеров, для Unified Assurance и Billing and Revenue Management нужно окно обслуживания. Если патч отложен, отключите локализованный поиск шаблонов в FreeMarker и ограничьте сетевой доступ к интерфейсам управления.
Набор затрагивает несколько контуров оператора связи сразу, поэтому план обновления придётся строить по продуктам. Самые тяжёлые последствия дают уязвимости в облачных компонентах ядра сети: они доступны из сети и не требуют учётных данных.
Ссылки
