Oracle Identity Manager: Fehlende Authentifizierung in End User Self Service

Zusammenfassung

Oracle Identity Manager, Komponente End User Self Service, weist eine Schwachstelle durch fehlende Authentifizierung auf (CWE-287, CWE-306). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über T3 oder IIOP kann das Produkt kompromittieren und übernehmen. Es sind weder Zugangsdaten noch Benutzerinteraktion erforderlich, und CVSS 3.1 bewertet die Schwachstelle mit 9.8 (Critical).

Betroffen

• Oracle Identity Manager 12.2.1.4.0
• Oracle Identity Manager 14.1.2.1.0 (eine Sekundärquelle nennt 14.1.2.0.0; bei Oracle prüfen)

Behoben in

Unbekannt. Details zum Patch im Oracle-Advisory der Critical Patch Update vom Oktober 2026 und in My Oracle Support prüfen.

Umgehung

• In den geprüften Quellen wurde kein Workaround des Herstellers gefunden. Im Oracle-Advisory nach Massnahmen suchen.
• Den Netzwerkzugriff auf die Dienste T3 und IIOP auf vertrauenswürdige Netze beschränken. Nicht dem Internet aussetzen.

Ausnutzung

• CISA-SSVC-Daten: Exploitation none, automatable yes.
• Gemäss OpenCVE nicht in der CISA-KEV-Liste aufgeführt.
• Kein öffentlicher Proof of Concept gefunden. Dies ist eine Lücke der Recherche, kein bestätigter Nachweis der Abwesenheit.

Unsere Empfehlung

• Feststellen, ob Oracle Identity Manager 12.2.1.4.0 oder 14.1.2.1.x eingesetzt wird und auf welchem Patch-Stand.
• Den Patch der Critical Patch Update vom Oktober 2026 bei Oracle beziehen und so rasch wie möglich einspielen.
• Bis zum Patch sicherstellen, dass T3 und IIOP nicht aus dem Internet oder aus nicht vertrauenswürdigen Segmenten erreichbar sind.
• Die externe Erreichbarkeit mit einem Scan prüfen und auf Meldungen zu Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update October 2026 www.oracle.com
• OpenCVE: CVE-2026-91408 app.opencve.io
• Vulners NVD record CVE-2026-91408 vulners.com
• Strix CVE-2026-91408 www.strix.ai
• Waratek: Oracle October 2026 Critical Patch Update waratek.com
• Beazley: Critical vulnerability in Oracle OIM under active exploitation beazley.security

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:11.