【已复现】CVE-2026-101767 Oracle EBS AppsTCFServer SQL注入漏洞

源影网安
源影网安

源影安全团队

2026年11月5日 18:57
湖北

去阅读

Oracle E-Business Suite(EBS)是 Oracle 的企业资源规划(ERP)核心套件，覆盖财务、采购、供应链、制造、人力资源与薪资等业务域，广泛部署于制造、能源、医疗、金融与公共事业客户。其 Web 层由 OC4J(Oracle Containers for J2EE)承载，/OA\_HTML/ 路径下的 Servlet 直接对外提供表单、报表与 Java 客户端通道；EBS 通过 URL 防火墙(URL Firewall)规则表控制哪些路径可从不可信网络访问，而 Thin Client Framework(TCF)通道在默认配置中即被放行。

CVE-2026-101767(2026-10-20 随 Oracle 十月 CPU 披露，CVSS 9.8)是 EBS 核心组件 Application Object Library(Core)的未认证 SQL 注入漏洞。攻击者直接向 /OA\_HTML/AppsTCFServer(服务端实现 oracle.apps.fnd.tcf.SocketServer)投递 TCF 私有协议报文：握手阶段不校验任何身份即返回 TCF/SPv1.1，随后按类名实例化白名单内的  oracle.apps.jtf.gantt.server.GanttDataServer, 再以 IVS 指令让服务端按攻击者指定的文件名加载 DBC 文件构建 WebAppsContext；该上下文内置 APPS schema 的数据库口令，且其赋值发生在责任校验之前，校验失败仅返回 FAILED 而不回滚，因此无需任何有效账号即持有 APPS 级 JDBC 连接。最后以 DBC 内的 GUEST\_USER\_PWD(默认 GUEST/ORACLE)执行 J1 登录置活登录态，由命令 18 将任意 SQL 交给 JDBC PreparedStatement 执行，结果经 ResourceInfo 标签回显。受影响的版本为 EBS 12.2.3–12.2.15，修复版本为 2026 年 10 月 Critical Patch Update(MOS Note KA923)；官方无 workaround，过渡期只能将 /OA\_HTML/AppsTCFServer 移出 URL 防火墙放行名单，或限制 EBS Web 层的访问来源。截至 2026-11-04 版 CISA KEV 目录(1768 条)尚未收录该 CVE，CISA ADP 的 SSVC 标注 Exploitation 为 none，但公开情报称十月下旬已出现针对该端点的探测流量。

复现截图：