Oracle Access Manager: Unzureichende Authentifizierung in Authentication Engine
Zusammenfassung
Oracle Access Manager, Teil von Oracle Fusion Middleware, enthält in seiner Authentication Engine eine Schwachstelle zur unzureichenden Authentifizierung, die über SAML erreichbar ist. Ein nicht authentifizierter Angreifer mit Netzwerkzugang kann sie unter hoher Angriffskomplexität ausnutzen und Oracle Access Manager übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Access Manager dient als Single-Sign-on-Schnittstelle, daher kann sich eine Kompromittierung auf die geschützten Anwendungen ausweiten. Oracle behebt das Problem im Critical Patch Update vom Oktober 2026.
Betroffen
- Oracle Access Manager 12.2.1.4.0 - Oracle Access Manager 14.1.2.0.0 (gemäss CVE-Eintrag; Schwesterschwachstellen im selben CPU listen 14.1.2.1.0, daher die exakten Builds gegen die Oracle-Advisory prüfen)
Behoben in
Unbekannt. Den Patch aus dem Oracle Critical Patch Update vom Oktober 2026 einspielen (Build-Nummern siehe Oracle-Advisory).
Umgehung
- Kein Oracle-spezifischer Workaround bekannt. - Interimsmassnahme aus einer Drittquelle zu CVE-2026-70905, nicht von Oracle: Zugriff auf OAM-Agent- und SAML-Endpunkte auf vertrauenswürdige Netze und IP-Bereiche der Identity Provider beschränken sowie nicht benötigte SAML-Federation-Partner deaktivieren.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung von CVE-2026-83409 gefunden. - Kein öffentlicher Proof of Concept bekannt. - CISA SSVC: Exploitation none, Automatable no, Technical Impact total. - EPSS-Wert 0.00377.
Unsere Empfehlung
- Prüfen, ob ein Kunde Oracle Access Manager 12.2.1.4.x oder 14.1.2.x betreibt. - Den exakten Build gegen die Oracle-Advisory prüfen. - Den Patch aus dem Oracle CPU vom Oktober 2026 einspielen, dabei internetexponierte Instanzen priorisieren. - Bis zum Patch den SAML-Endpunktzugriff auf bekannte Identity Provider beschränken. - Hinweis: Der CVSS-Wert ist laut CNA-Eintrag 8.1, Vulmon listet 9.8.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert October 2026 CPU www.oracle.com
- NVD record via Vulners CVE-2026-83409 vulners.com
- Strix CVE-2026-83409 www.strix.ai
- Tenable Nessus plugin 369015 www.tenable.com
- eSecurity Planet: Oracle October 2026 CPU www.esecurityplanet.com
- Waratek: Oracle October 2026 CPU waratek.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- Vulmon priority CVEs vulmon.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:20.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.