Kerngegevens
- Leverancier
- Oracle
- Soort software
- –
- Getroffen versies
- Oracle Configurator 12.2.3 t/m 12.2.14
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 12 oktober 2025
- Op de KEV-lijst sinds
- 20 oktober 2025
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Oracle Configurator, een onderdeel van Oracle E-Business Suite, zit een lek in de Runtime UI. Een aanvaller kan via het netwerk met gewone HTTP-verzoeken bij gegevens komen die hij niet mag zien, zonder in te loggen. Het lek is eenvoudig te misbruiken en wordt volgens CISA al actief misbruikt. Er is ook publiek exploitmateriaal beschikbaar.
Wie loopt risico?
Je loopt risico als je organisatie Oracle E-Business Suite gebruikt met Oracle Configurator in een van de versies 12.2.3 tot en met 12.2.14. Vooral omgevingen die via het netwerk of internet bereikbaar zijn, zijn kwetsbaar, omdat de aanvaller geen account nodig heeft. CISA geeft aan dat het lek bekend is uit ransomwarecampagnes. Het gaat om vertrouwelijke gegevens: de gegevens in Oracle Configurator kunnen worden ingezien.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Controleer of je dit gebruikt
Ga na of je organisatie Oracle E-Business Suite met Oracle Configurator draait, en of de versie tussen 12.2.3 en 12.2.14 valt.
Lees het advies van Oracle
Open het beveiligingsbericht van Oracle voor dit lek en pas de maatregelen of patches toe die Oracle daarin noemt.
Beperk de bereikbaarheid
Zorg dat E-Business Suite niet zomaar vanaf internet bereikbaar is. Laat toegang alleen toe via een VPN of vanaf vertrouwde netwerken.
Controleer op sporen van misbruik
Kijk in de logbestanden van webserver en applicatie naar ongewone HTTP-verzoeken aan Configurator, zeker sinds oktober 2025. Schakel bij twijfel je beveiligingsteam in.
Is er geen oplossing mogelijk?
Kun je de maatregelen van Oracle niet toepassen, dan adviseert CISA het gebruik van het product te stoppen totdat dat wel kan.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de component Runtime UI van Oracle Configurator in Oracle E-Business Suite 12.2.3 tot en met 12.2.14. Het is geclassificeerd als CWE-22, een onjuiste beperking van een pad naar een beperkte map (padtraversal). CISA noemt het in de KEV-lijst een Server-Side Request Forgery-lek in Oracle E-Business Suite. De kwetsbaarheid is op afstand te misbruiken via HTTP zonder authenticatie en zonder gebruikersinteractie. De CVSS 3.1-vector is AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N: alleen de vertrouwelijkheid wordt geraakt, niet de integriteit of beschikbaarheid. Een geslaagde aanval geeft toegang tot alle gegevens die Oracle Configurator kan benaderen.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Zwakheid (CWE)
- CWE-22 · Padtraversal (onjuiste beperking van een pad naar een beperkte map)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 95,9%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 20 oktober 2025
- Deadline van CISA
- 10 november 2025
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA