Oracle Identity Manager: Authentifizierungsumgehung in REST WebServices
Zusammenfassung
Oracle Identity Manager in den Versionen 12.2.1.4.0 und 14.1.2.1.0 enthält im Component REST WebServices eine Schwachstelle, die als fehlende Authentifizierung (CWE-306) eingestuft wird. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff via HTTP kann das Produkt kompromittieren, CVSS 3.1 Base Score 8.8. Oracle hat die Schwachstelle im Critical Patch Update vom Oktober 2026 adressiert, eine Ausnutzung ist jedoch nicht bekannt.
Betroffen
- Oracle Identity Manager 12.2.1.4.0
- Oracle Identity Manager 14.1.2.1.0
Behoben in
- Das Critical Patch Update (CPU) von Oracle vom Oktober 2026 ist der angegebene Lösungsweg. Die Zuordnung der Patches ist im Oracle-Advisory zu bestätigen.
- Fixe Build-Nummern: Unbekannt.
Umgehung
- Kein vom Hersteller bestätigter Workaround gefunden.
- Bis zur Behebung den Zugriff auf die REST-API auf interne Netze oder VPN beschränken und am Reverse Proxy oder an der Firewall aus dem Internet blockieren.
- Berechtigungen von Konten, die die REST-API aufrufen können, überprüfen und reduzieren.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- CISA SSVC: Exploitation none, automatable no.
- Nicht in der CISA-KEV-Liste enthalten.
- Bei begrenzten Recherchen wurde kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Oracle Identity Manager installiert ist und welche Versionen im Einsatz sind.
- Falls installiert und über das interne Netz hinaus erreichbar, das CPU vom Oktober 2026 prioritär einspielen.
- Bis zur Behebung den Zugriff auf die REST-API einschränken und Konten mit API-Zugriff überprüfen.
- Logs auf ungewöhnliche REST-API-Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- VulDB CVE-2026-91407 vuldb.com
- OpenCVE CVE-2026-91407 app.opencve.io
- Strix CVE-2026-91407 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.