CVE-2026-60429

Krytyczna podatność w Oracle Unified Directory — przejęcie kontroli przez LDAP

CVSS 9.9v3.1pub. 2026-07-21upd. 2026-07-30

Podatność w komponencie OUD Core produktu Oracle Unified Directory umożliwia niskouprzywilejowanemu atakującemu zdalne przejęcie kontroli nad systemem poprzez protokół LDAP. Wysoki wynik CVSS 9.9 oraz możliwość wpływu na dodatkowe produkty (scope change) czynią ją szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Unified Directory product of Oracle Fusion Middleware (component: OUD Core). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with network access via LDAP to compromise Oracle Unified Directory. While the vulnerability is in Oracle Unified Directory, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in takeover of Oracle Unified Directory. CVSS 3.1 Base Score 9.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Atakujący posiadający dostęp sieciowy do serwera Oracle Unified Directory oraz konto z niskimi uprawnieniami może wysyłać specjalnie spreparowane żądania LDAP do komponentu OUD Core. Podatność jest łatwa do wykorzystania — nie wymaga złożonych warunków ani interakcji ze strony ofiary. Udane wykorzystanie może prowadzić do całkowitego przejęcia systemu Oracle Unified Directory, a ze względu na zmianę zakresu (scope change) ataki mogą znacząco wpłynąć również na inne powiązane produkty.

Skutki

Atakujący może uzyskać pełną kontrolę nad Oracle Unified Directory, naruszając poufność, integralność i dostępność systemu, a skutki ataku mogą rozciągać się na dodatkowe produkty w środowisku.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — Oracle Critical Patch Update z lipca 2026 roku (https://www.oracle.com/security-alerts/cpujul2026.html). Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do portów LDAP wyłącznie do zaufanych hostów oraz wdrożenie zasady minimalnych uprawnień dla kont LDAP.