PT-2025-42978 · Oracle · Oracle Fusion Middleware Identity Manager
Publicado
2025-10-21
·
Atualizado
2026-04-08
·
CVE-2025-61757
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Oracle Identity Manager versões 12.2.1.4.0 a 14.1.2.1.0
Descrição
Existe uma vulnerabilidade crítica no Oracle Identity Manager, especificamente dentro do componente REST WebServices. Esta falha permite que um atacante não autenticado execute código remotamente via solicitações HTTP, potencialmente levando a um comprometimento completo do sistema. A vulnerabilidade decorre da falta de verificações de autenticação para funções críticas, permitindo que atacantes contornem medidas de segurança e obtenham acesso não autorizado. A exploração ativa desta vulnerabilidade tem sido observada desde agosto de 2025, e ela foi adicionada ao catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA. Os atacantes podem explorar isso anexando
?WSDL ou ; .wadl aos URLs, obtendo acesso ao sistema. A vulnerabilidade afeta organizações que dependem do Oracle Identity Manager para governança de identidade, particularmente aquelas com endpoints de API REST expostos. Houve relatos de tentativas de varredura e solicitações POST com um tamanho de payload de aproximadamente 556 bytes, indicando tentativas ativas de exploração.Recomendações
Aplique os patches de segurança mais recentes lançados pela Oracle em outubro de 2025 para as versões 12.2.1.4.0 e 14.1.2.1.0 do Oracle Identity Manager.
Restrinja o acesso externo ao sistema afetado usando VPNs ou Listas de Controle de Acesso (ACLs).
Monitore os logs em busca de atividade suspeita direcionada aos endpoints de API vulneráveis, especificamente solicitações POST inesperadas com um tamanho de payload de cerca de 556 bytes.
Considere desabilitar temporariamente o componente vulnerável REST WebServices até que um patch possa ser aplicado.
Correção
RCE
LPE
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Oracle Fusion Middleware Identity Manager