Oracle Identity Manager: Unzureichende Zugriffskontrolle im OIM Legacy UI
Zusammenfassung
Die Oracle Identity Manager (OIM) Versionen 12.2.1.4.0 und 14.1.2.1.0 sind von einer Schwachstelle in der Komponente OIM Legacy UI betroffen, die als unzureichende Zugriffskontrolle (CWE-284) eingestuft wird. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt kompromittieren, mit einer möglichen vollständigen Übernahme (CVSS 3.1: 8.8). Für Details ist die Herstellerempfehlung massgebend; der Eintrag wartet noch auf die Analyse durch die NVD.
Betroffen
- Oracle Identity Manager 12.2.1.4.0
- Oracle Identity Manager 14.1.2.1.0
- Komponente: OIM Legacy UI
Behoben in
Unbekannt. Prüfen Sie das Oracle Critical Patch Update vom Oktober 2026 auf den Patch für diese CVE.
Umgehung
- Vom Hersteller unbekannt. Ein nicht verifizierter Vorschlag eines Drittanbieters lautet, den HTTP-Zugriff auf die OIM-Weboberfläche mittels Firewall-Regeln auf vertrauenswürdige IP-Adressen zu beschränken.
- Least-Privilege- und rollenbasierte Zugriffe für alle OIM-Konten durchsetzen.
- Falls das Legacy UI vom Geschäftsbetrieb nicht benötigt wird, den Zugriff einschränken oder es deaktivieren.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Ein Aggregator führt die CVE nicht im CISA-KEV-Katalog; dies ist nicht verifiziert und sollte direkt bei CISA geprüft werden.
- Eine andere OIM-Schwachstelle (CVE-2025-61757) wurde in den CISA-KEV-Katalog aufgenommen; sie ist nicht diese CVE.
Unsere Empfehlung
- Prüfen Sie, ob Sie OIM 12.2.1.4.0 oder 14.1.2.1.0 einsetzen und ob es aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist.
- Prüfen Sie das Oracle Critical Patch Update vom Oktober 2026 und spielen Sie den Fix im nächsten Wartungsfenster ein.
- Beschränken Sie bis zur Behebung den Netzwerkzugriff auf OIM und das Legacy UI und deaktivieren Sie das Legacy UI, falls es nicht benötigt wird.
- Überprüfen Sie die Admin- und Dienstkonten von OIM, erzwingen Sie MFA auf den Zugriffswegen und überwachen Sie neue oder geänderte Konten und Rollen in OIM.
- Hinweis: Das Transportdetail (HTTP vs. HTTPS) und ein mögliches Duplikat (CVE-2026-91259) sind nicht verifiziert.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert Advisory October 2026 (CPU) www.oracle.com
- NVD record via Vulners vulners.com
- Strix CVE record CVE-2026-83403 www.strix.ai
- Oracle Identity Management Stack Patch Bundle (SPB) documentation docs.oracle.com
- Vulners record CVE-2026-91259 (possible duplicate) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.