Oracle Identity Manager Connector: Unzureichende Zugriffskontrolle über SOAP
Zusammenfassung
Oracle Identity Manager Connector in den Versionen 12.2.1.4.0 und 14.1.2.1.0 enthält eine als unzureichende Zugriffskontrolle (CWE-284) eingestufte Schwachstelle in der Komponente Connectors and Connector Server. Ein Angreifer mit hohen Berechtigungen und Netzwerkzugriff über SOAP kann kritische Daten erstellen, löschen oder ändern sowie auf Daten zugreifen, die für den Connector erreichbar sind. Da der Scope geändert wird, kann sich die Auswirkung auf weitere Produkte ausweiten.
Betroffen
- Oracle Identity Manager Connector 12.2.1.4.0
- Oracle Identity Manager Connector 14.1.2.1.0
Behoben in
Unbekannt. Die Patches des Oracle Critical Patch Update vom Oktober 2026 für die betroffenen Versionen installieren. Genaue Patch-Bezeichnungen und Build-Nummern sind in den Quellen nicht bestätigt; das Oracle-Advisory prüfen.
Umgehung
Unbekannt. In den Quellen wurde keine Workaround-Massnahme gefunden; Oracle empfiehlt als Abhilfe das Einspielen des Patches.
Ausnutzung
- Laut Stand 21. Oktober 2026 nicht im Katalog der Known Exploited Vulnerabilities (KEV) der CISA aufgeführt.
- Oracle meldet für die CVEs des Oktober-2026-Updates keine Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden; dies ist nicht als Fehlen bestätigt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Das Oracle Critical Patch Update vom Oktober 2026 für Oracle Identity Manager Connector 12.2.1.4.0 und 14.1.2.1.0 im nächsten Wartungsfenster installieren.
- Instanzen priorisieren, die von ausserhalb des administrativen Netzwerks erreichbar sind.
- Zugriff auf den SOAP-Endpunkt einschränken und Konten mit hohen Berechtigungen in Oracle Identity Manager überprüfen.
- Die weiteren Oracle-Identity-Manager-Connector-CVEs aus demselben CPU gleichzeitig patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- NVD record via Vulners: CVE-2026-91211 vulners.com
- OpenCVE: CVE-2026-91211 app.opencve.io
- Strix: CVE-2026-91211 www.strix.ai
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.