Октябрьский бюллетень Oracle Critical Patch Update закрывает уязвимости в PeopleSoft Enterprise PeopleTools 8.61, 8.62 и 8.63. Затронуты также прикладные модули HCM, SCM и FIN. В CPU418 свыше 100 идентификаторов CVE. Верхняя оценка 9.8 по CVSS 3.1 принадлежит CVE-2026-33466. Обход каталога при распаковке архивов в Logstash даёт запись произвольных файлов. При включённой автоперезагрузке конвейеров это переходит в удалённое выполнение кода. Второй по оценке идёт CVE-2026-55200 с 9.2 по CVSS 4.0: запись за границы буфера в libssh2. Обе ошибки доступны по сети, учётная запись не требуется.
Что входит в октябрьское обновление PeopleTools
Обход каталога возникает из-за отсутствия проверки путей внутри архива. Утилиты распаковки Logstash доверяют именам файлов из сжатого пакета. Поэтому архив от подконтрольного сервера обновлений несёт записи с выходом за пределы каталога распаковки. Файлы записываются с правами процесса Logstash. Затем срабатывает автоперезагрузка конвейеров, и подменённый файл исполняется. Участие пользователя не нужно, отсюда оценка 9.8.
В libssh2 обработчик транспортного уровня не проверяет верхнюю границу поля длины пакета. Пакет с завышенной длиной переполняет кучу и открывает путь к выполнению произвольного кода. В составе PeopleTools библиотека работает в компоненте обработки файлов. Там оценка ниже, 8.3, потому что атака требует действия пользователя.
Отказ в обслуживании дают две ошибки в сторонних библиотеках. В OpenSSL разбор зашифрованных сообщений с паролем позволяет атакующему выбрать поточный шифр для ключа. Чтение за границы буфера роняет процесс. Оценка 7.5, вектор сетевой, аутентификация не нужна, FIPS-модули не затронуты. В Eclipse Parsson парсер JSON не ограничивает объём одного документа. Версия 1.1.8 вводит лимит в 15 млн символов. Здесь те же 7.5 и сетевой доступ без аутентификации.
Подделка кода аутентификации сообщения в IESEngine библиотеки Bouncy Castle затрагивает целостность. Атакующий обходит проверку подлинности в потоковом режиме. В PeopleTools оценка 5.3, по CVSS 4.0 уже 8.7.
Остальные записи требуют учётной записи или локального доступа. Оценки лежат в диапазоне от 1.9 до 9.6. Максимум у ошибки в компоненте SQR: низкие привилегии, сетевой доступ, влияние за пределы продукта. Ещё 8.8 даёт Strategic Sourcing при низких привилегиях и захвате приложения. Без аутентификации доступны 8.1 в Business Interlink, 7.5 в Report Distribution и 5.8 в веб-сервере. Локальные ошибки требуют входа на узел PeopleTools и высоких привилегий. Затронуты Portal, Report Distribution, Business Interlink, Security, LDAP, Tuxedo, Weblogic, Updates Change Assistant, Application Data Sets и планировщик процессов.
Исправления вышли в составе CPU418. Патчи доступны держателям контракта поддержки Oracle. Бюллетень закрывает PeopleTools 8.61, 8.62 и 8.63, а также HCM 9.2, SCM 9.2 и FIN 9.1. Предыдущий квартальный набор для PeopleSoft вышел в июле 2026 года. Обходных мер Oracle не опубликовала. Сведений об эксплуатации в реальных атаках нет. EPSS для CVE-2026-33466 равен 0,0085, для CVE-2026-55200 - 0,04.
Обновить PeopleTools до сборки из CPU418 на всех узлах, включая веб-сервер, прикладной сервер и планировщик процессов. Ограничить сетевой доступ к серверу обновлений Logstash. Отключить автоперезагрузку конвейеров до установки патча. Изолировать сегмент, из которого разрешены SSH-подключения клиента libssh2.
Значимость бюллетеня определяют две сетевые ошибки без аутентификации. Обход каталога в Logstash даёт выполнение кода при автоперезагрузке конвейеров, запись за границы буфера в libssh2 ведёт к переполнению кучи. Остальные уязвимости требуют учётных данных или локального доступа. Приоритет у веб-уровня и прикладного сервера, затем идут модули HCM, SCM и FIN.
Ссылки
