Oracle Identity Manager: Privilegienausweitung über OIM Legacy UI

Zusammenfassung

Ein Fehler in der Komponente OIM Legacy UI von Oracle Identity Manager (Versionen 12.2.1.4.0 und 14.1.2.1.0) erlaubt einem Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff über HTTPS, das Produkt zu kompromittieren. Laut dem CVE-Eintrag von Oracle kann ein erfolgreicher Angriff zur Übernahme von Oracle Identity Manager führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für die Ausnutzung ist keine Benutzerinteraktion nötig; zum Zeitpunkt der Erstellung wurde weder ein öffentlicher Exploit noch eine Ausnutzung in freier Wildbahn gefunden.

Betroffen

• Oracle Identity Manager 12.2.1.4.0
• Oracle Identity Manager 14.1.2.1.0
• Komponente: OIM Legacy UI

Behoben in

Unbekannt. Die korrigierten Builds sind dem Risk Matrix des Oracle Critical Patch Update Advisory vom Oktober 2026 oder My Oracle Support zu entnehmen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Als Zwischenmassnahme: Netzwerkzugriff auf die OIM Legacy UI auf Admin-Netze oder VPN beschränken.

Ausnutzung

• CVSS 3.1 Basiswert 8.8 (High), Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Kein KEV-Eintrag, kein Ausnutzungsbericht und kein öffentlicher Proof of Concept gefunden
• NVD-Analyse und CWE (CWE-284) noch ausstehend

Unsere Empfehlung

• Prüfen, ob Oracle Identity Manager im Einsatz ist und ob die OIM Legacy UI aus dem Internet oder aus unvertrauten Netzen erreichbar ist
• Zugriff auf die OIM Legacy UI als Zwischenmassnahme auf Admin-Netze oder VPN beschränken
• Das Oracle Critical Patch Update vom Oktober 2026 einspielen und den korrigierten Build im Advisory prüfen
• Konten mit niedrigen Rechten auf dem OIM überprüfen und auf verdächtige Aktivitäten überwachen
• KEV-Status und Ausnutzungslage in den kommenden Tagen erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory October 2026 www.oracle.com
• NVD mirror: CVE-2026-83402 vulners.com
• Strix CVE summary: CVE-2026-83402 www.strix.ai
• Oracle CPU blog October 2026 blogs.oracle.com
• Waratek analysis of October 2026 CPU (third party) waratek.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:43.