Oracle Identity Manager: Authentifizierungsumgehung in OIM Legacy UI
Zusammenfassung
Oracle Identity Manager in den Versionen 12.2.1.4.0 und 14.1.2.1.0 enthält eine Schwachstelle in der Komponente OIM Legacy UI (CWE-287, unzureichende Authentifizierung). Ein entfernter Angreifer mit einem Konto mit niedrigen Rechten und HTTP-Netzwerkzugriff kann das Produkt kompromittieren, wobei eine vollständige Übernahme von Oracle Identity Manager möglich ist. Oracle stuft die Schwachstelle mit CVSS 8.8 ein und gibt an, dass sie leicht ausnutzbar ist.
Betroffen
- Oracle Identity Manager 12.2.1.4.0
- Oracle Identity Manager 14.1.2.1.0
- Oracle Identity Manager Connector 12.2.1.4.0 und 14.1.2.1.0 (in der CPU-Matrix von Oracle für Oktober 2026 aufgeführt)
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Konkrete Patch-Nummern und korrigierte Versionen: Unbekannt. Diese sind der Risikomatrix im Oracle-Advisory oder My Oracle Support zu entnehmen.
Umgehung
Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Das Oracle-Advisory auf konfigurationsbasierte Massnahmen für die Komponente OIM Legacy UI prüfen.
Ausnutzung
- Bekanntermassen ausgenutzt (CISA KEV): Nein
- Öffentlicher Proof of Concept: Keiner gefunden
- EPSS-Wert: Nicht verfügbar
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Prüfen, ob Oracle Identity Manager eingesetzt wird, auch über Oracle Access Manager oder SSO-Lösungen.
- Das Oracle Critical Patch Update vom Oktober 2026 einspielen, anhand der Patch-Nummern aus dem Oracle-Advisory.
- Instanzen mit Erreichbarkeit aus dem Internet priorisieren; HTTP-Zugriff wo möglich auf interne Netze beschränken.
- Konten mit niedrigen Rechten überprüfen und die HTTP-Schnittstellen von OIM auf ungewöhnliche Aktivitäten überwachen.
- NVD-Status und CWE-Zuordnung verifizieren, da NVD zum Zeitpunkt der Recherche den Status Awaiting Analysis anzeigte.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- Oracle Security Blog: October 2026 CPU released blogs.oracle.com
- OpenCVE: CVE-2026-91259 app.opencve.io
- Vulners: Oracle CPU October 2026 matrix vulners.com
- Waratek: October 2026 CPU review waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:34.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.