Krytyczna podatność w komponencie Authentication Engine produktu Oracle Access Manager umożliwia niskouprzywilejowanemu atakującemu z dostępem sieciowym przez HTTP całkowite przejęcie systemu. Podatność jest łatwa w eksploatacji i może wpłynąć na dodatkowe produkty poza bezpośrednio zaatakowanym systemem.
▸ Pokaż oryginał (EN)
Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with network access via HTTP to compromise Oracle Access Manager. While the vulnerability is in Oracle Access Manager, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Access Manager. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).
Atakujący posiadający niskie uprawnienia (np. konto użytkownika) może przez sieć, za pomocą protokołu HTTP, wysłać odpowiednio spreparowane żądanie do komponentu Authentication Engine Oracle Access Manager. Podatność nie wymaga interakcji ze strony ofiary ani szczególnie skomplikowanych warunków (niska złożoność ataku). Atak powoduje tzw. zmianę zakresu (scope change), co oznacza, że skutki mogą wykraczać poza bezpośrednio atakowany system i oddziaływać na inne powiązane komponenty lub produkty.
Skuteczny atak prowadzi do całkowitego przejęcia Oracle Access Manager, w tym do naruszenia poufności, integralności i dostępności systemu. Ze względu na zmianę zakresu ataku, zagrożone mogą być również inne produkty integrujące się z Oracle Access Manager.
Należy zastosować patche dostępne u producenta zgodnie z referencjami — Oracle Critical Patch Update z lipca 2026 roku: https://www.oracle.com/security-alerts/cpujul2026.html
Oracle Access Manager w wersjach 12.2.1.4.0 oraz 14.1.2.1.0 (komponent: Authentication Engine)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HOracle Access Manager
APPOracle12.2.1.4.014.1.2.1.0
Powiązane podatności
Krytyczny Auth Bypass w Oracle Access Manager — przejęcie systemu
RCE przez deserializację w Oracle Coherence via protokół T3
Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Agent infrastructur...
Auth Bypass w Oracle Access Manager — nieautoryzowany dostęp przez HTTP
Krytyczne pominięcie uwierzytelnienia w Oracle Access Manager