Oracle Identity Manager Connector: Authentifizierungsumgehung im LDAP Gateway
Zusammenfassung
Oracle Identity Manager Connector, Teil von Oracle Fusion Middleware, enthält eine Schwachstelle in der Komponente LDAP Gateway, die einen nicht authentifizierten Zugriff erlaubt. Ein Angreifer mit Netzwerkzugriff auf die LDAP-Schnittstelle kann kritische Daten erstellen, ändern oder löschen sowie auf alle mit dem Produkt zugänglichen Daten zugreifen, mit hohen Auswirkungen auf Vertraulichkeit und Integrität. Es sind weder Benutzerinteraktion noch Zugangsdaten erforderlich. Oracle hat das Problem im Critical Patch Update vom Oktober 2026 behoben.
Betroffen
- Oracle Identity Manager Connector 12.2.1.4.0
- Oracle Identity Manager Connector 14.1.2.1.0
Behoben in
- Den Patch für die betroffene Version aus dem Critical Patch Update von Oracle vom Oktober 2026 installieren (veröffentlicht am 20. Oktober 2026, Rev. 2 vom 26. Oktober 2026).
- Spezifische Patch-Nummern für 12.2.1.4.0 und 14.1.2.1.0: Unbekannt.
Umgehung
- Kein von Oracle bereitgestellter Workaround bekannt.
- Generische Massnahme (nicht vom Hersteller verifiziert): Zugriff auf das LDAP Gateway auf vertrauenswürdige Hosts beschränken, etwa über Firewall-Regeln oder Netzwerksegmentierung. Oracle warnt, dass solche Massnahmen Funktionen stören können und Patches nicht ersetzen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Nicht im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; fehlende Hinweise sind kein Beweis für Sicherheit.
Unsere Empfehlung
- Prüfen, ob Oracle Identity Manager Connector in der Umgebung vorhanden ist und ob der LDAP-Port aus nicht vertrauenswürdigen Netzen erreichbar ist.
- Den passenden Patch aus dem CPU vom Oktober 2026 zuerst in einer Testumgebung, danach im Produktivbetrieb installieren; Systeme mit Erreichbarkeit aus dem Internet oder aus nicht vertrauenswürdigen Netzen priorisieren.
- Bis zur Behebung den Zugriff auf das LDAP Gateway auf vertrauenswürdige Hosts beschränken und die LDAP-Zugriffsprotokolle auf ungewöhnliche Aktivitäten überwachen.
- Nicht verwechseln mit CVE-2026-91491 (gleiche Komponente, CVSS 9.8) oder CVE-2026-91493 (CVSS 7.5).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- Oracle Blog: October 2026 Critical Patch Update released blogs.oracle.com
- VulDB: CVE-2026-91490 vuldb.com
- OpenCVE: CVE-2026-91490 app.opencve.io
- Waratek: October 2026 Critical Patch Update waratek.com
- Cyberpress: Oracle releases massive security update cyberpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:42.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.