Oracle Identity Manager Connector: Unzureichende Zugriffskontrolle erlaubt Datenmanipulation

Zusammenfassung

Oracle Identity Manager Connector (Komponente SAP ERP+) enthält eine unzureichende Zugriffskontrolle (CWE-284, CVSS 3.1 8.7). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff via HTTP kann kritische Daten erstellen, ändern oder löschen sowie auf Daten zugreifen, die für den Connector erreichbar sind, mit möglichen Auswirkungen auf angebundene Systeme. Die Ausnutzung gilt als schwierig (hohe Angriffskomplexität).

Betroffen

• Oracle Identity Manager Connector 12.2.1.4.0
• Oracle Identity Manager Connector 14.1.2.1.0

Behoben in

• Unbekannt. Patch für die betroffenen Connector-Versionen aus dem Critical Patch Update von Oracle vom Oktober 2026 einspielen (https://www.oracle.com/security-alerts/cpuoct2026.html) und die genaue Build-Nummer diesem Advisory entnehmen.

Umgehung

• Im CVE-Eintrag ist kein Workaround angegeben.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Exploitation none, automatisierbar nein. Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS unter 1%.
• Kein öffentlicher Proof of Concept gefunden (Suche nicht erschöpfend).

Unsere Empfehlung

• Prüfen, ob Kunden Oracle Identity Manager oder diesen Connector einsetzen. Falls nicht, als nicht zutreffend dokumentieren.
• Falls ja, den Oracle-Patch vom Oktober 2026 auf alle Installationen von 12.2.1.4.0 und 14.1.2.1.0 anwenden.
• Sicherstellen, dass die HTTP-Endpunkte von Identity Manager und Connector nicht aus dem Internet erreichbar sind; bis zum Patch den Zugriff auf interne Netze oder VPN beschränken.
• Zugriffsprotokolle auf unerwartete Anfragen prüfen und die übrigen Oracle-Identity-CVEs vom Oktober 2026 (CVE-2026-91490, CVE-2026-91491, CVE-2026-91493, CVE-2026-91494) separat bewerten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert October 2026 (CPU) www.oracle.com
• OpenCVE: CVE-2026-91492 app.opencve.io
• Vulners: CVE-2026-91492 vulners.com
• Strix: CVE-2026-91492 www.strix.ai
• VulDB: CVE-2026-91492 vuldb.com
• ZeroPath: Oracle Identity Manager Connector (CVE-2026-34286, related product history) zeropath.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:14.