Defekti në paketën e aplikacioneve për ndërmarrje përballet me exploit probes të hershme
Paketa e aplikacioneve për ndërmarrje (EBS), një koleksion aplikacionesh që përdoret për të menaxhuar operacionet dhe të dhënat e biznesit, po përballet me exploit probes të hershme që synojnë CVE-2026-101767, një cenueshmëri të korrigjuar së fundmi që mund të çojë në remote code execution, që do të thotë se një sulmues mund të ekzekutojë komanda në host-in e aplikacionit të prekur. Kompania e inteligjencës mbi kërcënimet Defused Cyber tha se sistemet e saj karrem regjistruan përpjekje eksploruese shfrytëzimi në mëngjesin e 27 tetorit, vetëm pak ditë pasi furnizuesi e trajtoi defektin në Critical Patch Update. Aktiviteti tregon se sulmuesit tashmë po testojnë sisteme të arritshme, megjithëse exploit probes e raportuara nuk vërtetojnë në vetvete se ndonjë mjedis klienti është komprometuar me sukses.
Cenueshmëria prek Application Object Library në paketën e aplikacioneve për ndërmarrje (EBS), një koleksion aplikacionesh për ndërmarrje që përdoret për të menaxhuar proceset e biznesit. Ajo ka një vlerësim prej 9.8 në Common Vulnerability Scoring System (CVSS), çka e vendos në kategorinë kritike. Furnizuesi e përshkruan dobësinë themelore si improper authentication, ku një sistem nuk verifikon siç duhet nëse një kërkesë duhet të lejohet. Një ekip kërkimor i Horizon3.ai e zbuloi defektin dhe ia raportoi furnizuesit më 24 korrik 2026.
Horizon3.ai e identifikoi problemin teknik si SQL injection pa autentikim në Thin Client Framework (TCF) servlet. SQL injection është një defekt që i lejon një kërkese të krijuar posaçërisht të ndërhyjë në komandat që i dërgohen një baze të dhënash, ndërsa servlet është një komponent aplikacioni web që merr dhe përpunon kërkesa. Një sulmues që mund të arrijë komponentin e cenueshëm në "/OA_HTML/AppsTCFServer" mund të dërgojë një kërkesë të formuar posaçërisht pa u identifikuar më parë. Kjo kërkesë mund të ekzekutojë udhëzime në bazën e të dhënave me privilegjet e përdoruesit APPS, një llogari e fuqishme e EBS me qasje në të dhënat e aplikacionit.
Studiuesit zbuluan se qasja në bazën e të dhënave mund të lidhet në një zinxhir që çon në ekzekutimin e komandave të sistemit operativ. Në këtë sekuencë, sulmuesi fillimisht ekzekuton SQL si përdoruesi APPS dhe më pas bën që komandat të ekzekutohen në host nën llogarinë e aplikacionit EBS. Prandaj, shfrytëzimi i suksesshëm mund t’i lejojë dikujt të lexojë ose të ndryshojë informacionin e disponueshëm për APPS dhe të ekzekutojë komanda në sistemin e aplikacionit. Horizon3.ai tha se të dhënat e ekspozuara mund të përfshijnë informacione financiare, listëpagesa, burime njerëzore dhe prokurime, në varësi të mënyrës se si organizata e ka implementuar EBS. Veprimet në sistemin operativ që do të kishte në dispozicion një sulmues do të kufizoheshin nga lejet që i janë caktuar llogarisë së komprometuar të aplikacionit.
Instalimet EBS të ekspozuara ndaj internetit kanë rrezikun më të qartë, sepse sulmuesit mund të përpiqen të kontaktojnë drejtpërdrejt servlet-in e cenueshëm. Megjithatë, një sistem i hostuar brenda organizatës nuk është automatikisht i sigurt. Horizon3.ai paralajmëroi se një implementim i brendshëm mund të arrihet ende nga një pajisje e komprometuar më parë ose nga një segment tjetër rrjeti që lejohet të lidhet me servlet. Prandaj, për ekipet e hosting-ut dhe IT-së, pyetja praktike nuk është vetëm nëse EBS është i qasshëm publikisht, por edhe se cilat sisteme dhe rrjete mund t’i dërgojnë kërkesa web tier-it të tij.
Administratorët e paketës së aplikacioneve për ndërmarrje këshillohen të instalojnë sa më shpejt përditësimin më të fundit të disponueshëm. Kur instalimi i menjëhershëm i përditësimit nuk është i mundur, Horizon3.ai rekomandon heqjen e "/OA_HTML/AppsTCFServer", që lidhet me komponentin SocketServer, nga EBS URL firewall allowlist. Një allowlist përcakton se cilat adresa web lejohen të kalojnë përmes një kontrolli filtrimi. Administratorët mund ta kufizojnë gjithashtu web tier-in e EBS vetëm në rrjete të besuara dhe të monitorojnë si host-in e aplikacionit, ashtu edhe bazën e tij të të dhënave për prova shfrytëzimi. Këto masa e zvogëlojnë ekspozimin, por nuk e zëvendësojnë përditësimin e sigurisë.
Horizon3.ai publikoi gjithashtu disa indicators of compromise, të cilat janë shenja teknike që mund të zbulojnë keqpërdorim të tentuar ose të suksesshëm. Mbrojtësit duhet të kërkojnë kërkesa POST pa autentikim drejt "/OA_HTML/AppsTCFServer" që krijojnë një instancë të klasës së serverit të të dhënave Gantt, të njohur si GanttDataServer, të ndjekura nga aktivitet në bazën e të dhënave. Shenja të tjera paralajmëruese përfshijnë zbulimin e informacionit mbi bazën e të dhënave pak pas një kërkese web pa autentikim, si kërkesa për versionin e bazës së të dhënave, përdoruesin aktual ose objektet e direktorive. Skedarët e papritur në "$APPLPTMP" janë një tjetër tregues, ashtu si edhe nisja e "/bin/sh" nga llogaria e aplikacionit përmes Concurrent Manager për të ekzekutuar komanda të sistemit operativ.
Exploit probes e reja vijnë pas shfrytëzimit aktiv të dy cenueshmërive të tjera kritike në EBS gjatë vitit të kaluar. CVE-2025-61882 dhe CVE-2026-46817 kanë të dyja vlerësime CVSS prej 9.8. Grupi Cl0p i ransomware dhe zhvatjes përdori CVE-2025-61882, duke treguar pse dobësitë e sapozbuluara në EBS kërkojnë vëmendje të menjëhershme nga organizatat që ruajnë të dhëna të ndjeshme operacionale.
Bizneset që kanë nevojë për mbështetje më të gjerë rreth kësaj pune mund të marrin në konsideratë AEU-I, e cila ofron shërbime IT, infrastrukture dhe konsulence me sigurinë si përparësi. Për organizatat e prekura, përparësitë e menjëhershme mbeten instalimi i përditësimit të furnizuesit, kufizimi i qasjes te servlet-i i cenueshëm dhe kontrollimi i indicators of compromise të listuara, pa supozuar se një implementim i brendshëm është i paarritshëm.