CVE-2026-60999

Krytyczna podatność w Oracle Data Integrator — przejęcie systemu przez sieć

CVSS 9.8v3.1pub. 2026-07-21upd. 2026-08-06

Oracle Data Integrator w wersji 14.1.2.0.0 zawiera krytyczną podatność w komponencie Rest Service, umożliwiającą nieuwierzytelnionemu atakującemu zdalne przejęcie kontroli nad systemem. Podatność nie wymaga żadnej interakcji użytkownika ani posiadania uprawnień.

▸ Pokaż oryginał (EN)

Vulnerability in the Oracle Data Integrator product of Oracle Fusion Middleware (component: Rest Service). The supported version that is affected is 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTPS to compromise Oracle Data Integrator. Successful attacks of this vulnerability can result in takeover of Oracle Data Integrator. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Atakujący z dostępem sieciowym do interfejsu HTTPS może wykorzystać podatność bez konieczności uwierzytelniania się w systemie. Luka pozwala na kompromitację Oracle Data Integrator poprzez komponent Rest Service, co skutkuje pełnym przejęciem systemu. Niski poziom złożoności ataku (AC:L) oznacza, że exploit nie wymaga spełnienia szczególnych warunków po stronie celu.

Skutki

Atakujący może uzyskać pełną kontrolę nad Oracle Data Integrator, wpływając na poufność, integralność i dostępność systemu. Scenariusz obejmuje możliwość odczytu i modyfikacji danych oraz zakłócenia działania usługi (DoS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — Oracle Critical Patch Update z lipca 2026 r. (https://www.oracle.com/security-alerts/cpujul2026.html). Priorytetowo zaleca się ograniczenie dostępu sieciowego do interfejsu Rest Service do zaufanych adresów IP do czasu zastosowania łatki.