Oracle Identity Manager: Fehlende Authentifizierung ermöglicht Remote Code Execution

Zusammenfassung

Oracle Identity Manager 12.2.1.4.0 und 14.1.2.1.0 (Oracle Fusion Middleware, Komponente REST WebServices) enthalten eine Schwachstelle durch fehlende Authentifizierung (CWE-306). Ein nicht authentifizierter Angreifer mit HTTP-Zugriff auf den Server kann das Produkt kompromittieren und übernehmen, der CVSS-Wert beträgt 9.8. Öffentlicher Proof-of-Concept-Code existiert, und die CISA führt die Schwachstelle seit dem 21. November 2025 als aktiv ausgenutzt; frühe, von SANS beobachtete Scans wurden später den eigenen Forschungsaktivitäten der Entdecker zugeordnet.

Betroffen

• Oracle Identity Manager 12.2.1.4.0
• Oracle Identity Manager 14.1.2.1.0

Behoben in

• Behoben im Oracle Critical Patch Update vom Oktober 2025 (veröffentlicht am 21. Oktober 2025)
• Patch-Build-Nummern: Unbekannt.

Umgehung

• Netzwerkzugriff auf die REST WebServices von Oracle Identity Manager auf vertrauenswürdige interne Netze beschränken.
• Perimeter-Kontrollen wie eine WAF können die Exposition verringern, ersetzen aber kein Patchen. Eine vom Hersteller validierte WAF-Signatur ist nicht bekannt.

Ausnutzung

• CISA KEV: Als aktiv ausgenutzt gelistet seit 21. November 2025; Fälligkeitsdatum für Behebung in Bundesbehörden 12. Dezember 2025.
• Öffentlicher PoC: ja, veröffentlicht von Searchlight Cyber, die die Schwachstelle entdeckt und Oracle gemeldet hat.
• Der Angriff erfordert weder Zugangsdaten noch Benutzerinteraktion; die Schwachstelle ist über HTTP erreichbar.
• SANS beobachtete zwischen 30. August und 9. September 2025 POST-Anfragen an eine URL, die auf ';.wadl' endet; SANS hat später mitgeteilt, dass diese von den Forschungsaktivitäten der Entdecker stammen könnten, weshalb sie als nicht bestätigte Angriffe gelten.
• Oracle hat in seinem Bulletin keine Ausnutzung bestätigt.

Unsere Empfehlung

• Falls das Produkt im Einsatz ist, sicherstellen, dass das Oracle CPU vom Oktober 2025 oder eine neuere Version eingespielt ist.
• Prüfen, ob die REST-WebServices-Endpunkte aus dem Internet erreichbar sind, und diese Exposition entfernen.
• Webserver-Logs auf Anfragen an URLs mit der Endung ';.wadl' oder auf andere ungewöhnliche POST-Anfragen prüfen, insbesondere von August bis Oktober 2025.
• Instanzen, die in diesem Zeitraum exponiert waren, als potenziell kompromittiert behandeln und untersuchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Jinxia62/Oracle-Identity-Manager-CVE-2025-61757 · ngominhquocngu/Blackash-CVE-2025-61757

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2025 www.oracle.com
• SANS ISC Diary: Oracle Identity Manager Exploit Observation isc.sans.edu
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA adds Oracle Fusion Middleware flaw to KEV catalog www.cisa.gov
• NVD: CVE-2025-61757 nvd.nist.gov
• SecurityWeek: CISA confirms exploitation of Oracle Identity Manager vulnerability www.securityweek.com
• SentinelOne CVE-2025-61757 Vulnerability Database www.sentinelone.com
• Fidelis Security: CVE-2025-61757 fidelissecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:56.