Oracle Identity Manager Connector: Authentifizierungsumgehung im LDAP Gateway

Zusammenfassung

Die Komponente LDAP Gateway des Oracle Identity Manager Connector (Versionen 12.2.1.4.0 und 14.1.2.1.0) enthält Authentifizierungsschwächen (CWE-287, CWE-306). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die LDAP-Schnittstelle kann den Connector kompromittieren, wobei eine vollständige Übernahme des Produkts möglich ist. Oracle stuft die Schwachstelle mit CVSS 9.8 (Kritisch) ein. Für den Angriff sind weder Zugangsdaten noch eine Benutzerinteraktion erforderlich.

Betroffen

• Oracle Identity Manager Connector 12.2.1.4.0
• Oracle Identity Manager Connector 14.1.2.1.0

Behoben in

Unbekannt. Prüfen Sie das Oracle Critical Patch Update vom Oktober 2026 auf den Patch für Ihre Version.

Umgehung

• Keine vom Hersteller bestätigte Umgehungslösung bekannt.
• Zugriff auf das LDAP Gateway mittels Firewall-Regeln oder Netzwerksegmentierung auf vertrauenswürdige Hosts beschränken (Übergangsmassnahme, von Oracle für diese CVE nicht bestätigt).

Ausnutzung

• Ausnutzung in freier Wildbahn: Keine Hinweise gefunden. Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Öffentlicher Proof of Concept: Nicht gefunden.

Unsere Empfehlung

• Prüfen Sie, ob Oracle Identity Manager Connector 12.2.1.4.0 oder 14.1.2.1.0 im Einsatz ist und wo das LDAP Gateway läuft.
• Beschränken Sie den Zugriff auf das LDAP Gateway sofort auf vertrauenswürdige Hosts. Setzen Sie LDAP-Ports nicht dem Internet aus.
• Spielen Sie den Fix des Oracle Critical Patch Update vom Oktober 2026 für Ihre Version ein und verifizieren Sie ihn anschliessend.
• Überwachen Sie eine Aufnahme in den KEV-Katalog oder öffentlichen Exploit-Code und prüfen Sie das Oracle-Advisory.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
• OpenCVE: CVE-2026-91491 app.opencve.io
• Strix: CVE-2026-91491 www.strix.ai
• Vulners: CVE-2026-91491 vulners.com
• Brandefense: Oracle October 2026 CPU brandefense.io
• Tenable: Oracle October 2026 CPU connect.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:11.