CVE-2026-60389

Krytyczne przejęcie kontroli nad Oracle Service Delivery Platform (Messaging Enabler)

CVSS 10.0v3.1pub. 2026-07-21upd. 2026-07-31

Podatność w komponencie Messaging Enabler produktu Oracle Service Delivery Platform (Oracle Fusion Middleware) umożliwia nieuwierzytelnionemu atakującemu zdalne przejęcie pełnej kontroli nad systemem. Wysoki stopień zagrożenia wynika z braku wymagań co do uwierzytelnienia, prostoty exploitacji oraz możliwości wpływu na dodatkowe produkty (scope change).

▸ Pokaż oryginał (EN)

Vulnerability in the Service Delivery Platform product of Oracle Fusion Middleware (component: Messaging Enabler). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Service Delivery Platform. While the vulnerability is in Service Delivery Platform, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Service Delivery Platform. CVSS 3.1 Base Score 10.0 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Atakujący posiadający dostęp sieciowy do systemu może wysłać odpowiednio spreparowane żądanie HTTP bez konieczności uwierzytelnienia (Auth Bypass). Niski poziom złożoności ataku (AC:L) i brak wymaganej interakcji użytkownika (UI:N) sprawiają, że podatność jest łatwa do wykorzystania. Luka pozwala na kompromitację komponentu Messaging Enabler, a jej skutki mogą wykraczać poza sam atakowany produkt i dotyczyć powiązanych systemów (zmiana zakresu — scope change).

Skutki

Udane wykorzystanie podatności może skutkować całkowitym przejęciem systemu Oracle Service Delivery Platform, obejmującym pełną utratę poufności, integralności i dostępności danych oraz usług. Atakujący może również wpłynąć negatywnie na inne produkty powiązane infrastrukturalnie.

Mitygacja

Należy niezwłocznie zastosować patche dostarczone przez Oracle w ramach Critical Patch Update z lipca 2026 roku, dostępne pod adresem: https://www.oracle.com/security-alerts/cpujul2026.html. Do czasu wdrożenia poprawek zaleca się ograniczenie dostępu sieciowego do komponentu Messaging Enabler wyłącznie do zaufanych hostów przy użyciu firewall lub mechanizmów kontroli dostępu sieciowego.