CVE-2026-60377

Krytyczna podatność w Oracle Service Delivery Platform – komponent Messaging Enabler

CVSS 9.9v3.1pub. 2026-07-21upd. 2026-07-28

Oracle Service Delivery Platform (Fusion Middleware) w wersjach 12.2.1.4.0 oraz 14.1.2.0.0 zawiera krytyczną podatność w komponencie Messaging Enabler, umożliwiającą atakującemu z niskimi uprawnieniami przejęcie kontroli nad danymi i częściowe zakłócenie działania systemu. Wysoki wynik CVSS 9.9 oraz możliwość wpływu na inne produkty (scope change) czynią ją szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Vulnerability in the Service Delivery Platform product of Oracle Fusion Middleware (component: Messaging Enabler). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows low privileged attacker with network access via T3, IIOP to compromise Service Delivery Platform. While the vulnerability is in Service Delivery Platform, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Service Delivery Platform accessible data as well as unauthorized access to critical data or complete access to all Service Delivery Platform accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Service Delivery Platform. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L).

🤖 Analiza AI

Jak działa

Atakujący z dostępem sieciowym i niskimi uprawnieniami może wykorzystać podatność poprzez protokoły T3 lub IIOP, które są typowe dla środowisk Oracle WebLogic i Fusion Middleware. Podatność jest łatwa do wyeksploitowania – nie wymaga interakcji użytkownika ani szczególnych warunków technicznych (niski poziom złożoności ataku). Udany atak skutkuje scope change, co oznacza, że jego skutki mogą wykraczać poza sam komponent i oddziaływać na inne produkty w środowisku.

Skutki

Atakujący może uzyskać nieautoryzowany odczyt, tworzenie, modyfikację lub usuwanie krytycznych danych dostępnych dla platformy, a także spowodować częściową niedostępność usługi (partial DoS). Kombinacja wysokiego wpływu na poufność i integralność danych oraz możliwość wpływu na dalsze produkty czyni tę podatność wyjątkowo poważną.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami – Oracle Critical Patch Update z lipca 2026 r. (https://www.oracle.com/security-alerts/cpujul2026.html). Dodatkowo, do czasu wdrożenia patcha, zaleca się ograniczenie dostępu sieciowego do portów obsługujących protokoły T3 i IIOP wyłącznie do zaufanych hostów za pomocą firewalla lub list ACL.