CVE-2026-60422

Krytyczna podatność w Oracle Unified Directory – kompromitacja przez LDAP

CVSS 9.9v3.1pub. 2026-07-21upd. 2026-07-29

Oracle Unified Directory w wersji 14.1.2.1.0 zawiera podatność umożliwiającą niskouprzywilejowanemu atakującemu zdalne przejęcie kontroli nad danymi poprzez protokół LDAP. Podatność uzyskała ocenę CVSS 9.9, co czyni ją ekstremalnie niebezpieczną, szczególnie ze względu na możliwość wpływu na inne produkty (scope change).

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Unified Directory product of Oracle Fusion Middleware (component: OUD Core). The supported version that is affected is 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with network access via LDAP to compromise Oracle Unified Directory. While the vulnerability is in Oracle Unified Directory, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Unified Directory accessible data as well as unauthorized access to critical data or complete access to all Oracle Unified Directory accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Oracle Unified Directory. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L).

🤖 Analiza AI

Jak działa

Atakujący posiadający dostęp sieciowy do usługi LDAP oraz minimalne uprawnienia (low privileged) może bez interakcji użytkownika i bez skomplikowanych warunków wstępnych przeprowadzić atak na komponent OUD Core. Podatność pozwala na nieuprawnione operacje na danych katalogu Oracle Unified Directory oraz – ze względu na zmianę zakresu (scope change) – może wpłynąć na inne powiązane produkty w środowisku.

Skutki

Atakujący może uzyskać pełny nieuprawniony dostęp do odczytu krytycznych danych, modyfikować lub usuwać dane w Oracle Unified Directory, a także powodować częściową odmowę usługi (partial DoS). Skutki ataku mogą rozciągać się na dodatkowe produkty w ekosystemie Oracle Fusion Middleware.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w ramach Oracle Critical Patch Update z lipca 2026 roku: https://www.oracle.com/security-alerts/cpujul2026.html