Восемь уязвимостей затрагивают Oracle Enterprise Manager версий 13.5 и 24.1. Максимальная оценка достигает 9.9 по CVSS 3.1, причём у двух проблем она сопровождается изменением области действия. Две уязвимости эксплуатируются по сети без аутентификации, для остальных нужны низкие привилегии или локальный вход на хост. Затронуты Base Platform, Data Guard Management, Siebel и Virtualization, то есть почти весь набор модулей управления инфраструктурой Oracle. Успешная атака даёт захват компонента, изменение данных и нарушение доступности.
Восемь CVE в Oracle Enterprise Manager версий 13.5 и 24.1
Две уязвимости приходят из сторонних библиотек. Идентификатор CVE-2025-48734 описывает некорректный контроль доступа в Apache Commons BeanUtils. Свойство declaredClass у объектов-перечислений Java открывает доступ к загрузчику классов, поэтому приложение, передающее внешние пути к свойствам, позволяет выполнить произвольный код. Вектор сетевой, аутентификация не требуется, оценка 9.3 по CVSS 4.0, вероятность эксплуатации по EPSS (прогноз атак в ближайшие 30 дней) составляет 0,018. Вторая проблема, CVE-2026-54512, связана с обходом валидатора полиморфных типов в jackson-databind. Валидатор проверяет только имя контейнера, а аргументы обобщённого типа остаются без проверки. Запрещённый класс помещается внутрь разрешённого списка и загружается при десериализации, то есть обратном преобразовании JSON в объекты. Атака возможна при включённой полиморфной типизации, сложность высокая, оценка 8.1, EPSS 0,010. Для jackson-databind это продолжение длинной серии уязвимостей десериализации, для Commons BeanUtils та же ошибка ранее затрагивала продукты Oracle Communications и Oracle Banking.
Остальные шесть уязвимостей относятся к собственным компонентам Oracle Enterprise Manager. Компонент Agent Next Gen в составе Base Platform имеет оценку 8.8: сетевой вектор, HTTP, низкие привилегии, без взаимодействия с пользователем. Компонент Enterprise Manager Install оценён в 7.8, здесь нужен локальный вход на сервер. Модуль Configuration Management в поставке для Siebel содержит две уязвимости по 8.8 с теми же сетевыми условиями. Data Guard Management в поставке для Oracle Database даёт две уязвимости по 9.9 с изменением области действия, поэтому атака на этот компонент затрагивает и связанные продукты. Сведений об эксплуатации перечисленных уязвимостей в реальных атаках нет, публичного эксплойта источники также не приводят.
Исправления Oracle выпустила в составе Critical Patch Update за октябрь 2026. Отдельные номера сборок вендор не публикует, патчи выдаются подписчикам My Oracle Support по документу CPU391. Обновлять нужно все четыре модуля версий 13.5 и 24.1: Base Platform, for Oracle Database, for Siebel и for Virtualization. Для сторонних библиотек исправленные выпуски уже вышли: Apache Commons BeanUtils 1.11.0 и 2.0.0-M2, jackson-databind 2.18.8, 2.21.4 и 3.1.4. Пока патч не установлен, ограничьте сетевой доступ к консоли Enterprise Manager и к агентам, оставив только адреса администраторов. Полиморфную типизацию в прикладном коде отключите там, где она не нужна, и не передавайте внешние пути к свойствам в методы чтения свойств. Проверьте журналы компонентов Agent Next Gen и Data Guard Management на обращения от непривилегированных учётных записей.
Приоритет обновления определяется двумя сетевыми уязвимостями без аутентификации и оценкой 9.9 с изменением области действия. Инсталляции, доступные из недоверенных сетей, закрывают в первую очередь; сегментация консоли и агентов снижает риск до установки патча, но не устраняет саму уязвимость.
Ссылки
