Oracle Identity Manager Connector: Unautorisierter Datenzugriff über Generic REST

Zusammenfassung

Oracle Identity Manager Connector 12.2.1.4.0 und 14.1.2.1.0 enthalten eine Schwachstelle in der Komponente Generic REST. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann unautorisiert auf Daten zugreifen, die über den Connector erreichbar sind. Durch die Scope-Änderung kann sich die Auswirkung über den Connector hinaus erstrecken. Oracle bewertet die Schwachstelle mit CVSS 3.1 8.6 (High), wobei sich die Auswirkung auf die Vertraulichkeit beschränkt.

Betroffen

• Oracle Identity Manager Connector 12.2.1.4.0
• Oracle Identity Manager Connector 14.1.2.1.0

Behoben in

• Unbekannt. Prüfen Sie das Oracle Critical Patch Update vom Oktober 2026 und das Patch Availability Document auf den genauen Patch.

Umgehung

• Im CVE-Eintrag ist kein Workaround dokumentiert.
• Nicht bestätigte allgemeine Härtung: Netzwerkzugriff auf die HTTP-Endpunkte des Connectors auf Management-Netze beschränken und die Generic-REST-Endpunkte einschränken, bis der Patch eingespielt ist.

Ausnutzung

• Nicht in der CISA-KEV-Liste aufgeführt.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Waratek meldet keine bekannten Ausnutzungen in freier Wildbahn für Schwachstellen dieses CPU zum Zeitpunkt der Veröffentlichung; dies ist ein Herstellerblog und möglicherweise veraltet.
• EPSS ca. 0.3%.

Unsere Empfehlung

• Prüfen Sie, ob Oracle Identity Manager Connector 12.2.1.4.0 oder 14.1.2.1.0 eingesetzt wird und ob dessen HTTP-Endpunkte aus dem Internet oder aus nicht vertrauenswürdigen internen Netzen erreichbar sind.
• Spielen Sie das Oracle Critical Patch Update vom Oktober 2026 so rasch wie möglich über Ihren Oracle-Supportkanal ein.
• Kann der Patch nicht rasch eingespielt werden, beschränken Sie den Zugriff auf den Connector.
• Überwachen Sie die Zugriffsprotokolle des Connectors auf ungewöhnliche HTTP-Anfragen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• NVD record via Vulners vulners.com
• OpenCVE CVE-2026-91212 app.opencve.io
• Oracle CPU October 2026 via Vulners vulners.com
• Waratek: Oracle October 2026 CPU waratek.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:31.