Kritische Oracle-Lücke: CISA warnt vor aktiv ausgenutzter Schwachstelle in Fusion Middleware

Authentifizierungslos zum Systemzugriff

Die US-Cybersicherheitsbehörde CISA hat eine Sicherheitslücke in Oracle Fusion Middleware in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Die unter CVE-2025-61757 geführte Verwundbarkeit betrifft den Identity Manager und ermöglicht Angreifern die vollständige Kompromittierung betroffener Systeme – ganz ohne vorherige Authentifizierung.

Oracle Identity Manager im Visier von Angreifern

Die Schwachstelle steckt in der REST-WebServices-Komponente des Oracle Identity Managers. Betroffen sind die noch unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. Angreifer benötigen lediglich Netzwerkzugriff über HTTP, um die Lücke auszunutzen – administrative Privilegien oder Nutzerinteraktion sind nicht erforderlich.

Nach Einschätzung von Oracle erreicht die Verwundbarkeit den maximalen CVSS-3.1-Score von 9,8 (kritisch). Der vollständige CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) verdeutlicht die Brisanz: Vertraulichkeit, Integrität und Verfügbarkeit sind gleichermaßen hochgradig gefährdet.

Fehlende Authentifizierungsprüfung als Einfallstor

Die Ursache liegt in einer fehlenden Authentifizierungsprüfung für kritische Funktionen. Diese Schwachstelle zählt zu den häufigsten Angriffsvektoren in der IT-Sicherheit und stellt insbesondere für Bundesbehörden und kritische Infrastrukturen ein erhebliches Risiko dar. Erfolgreiche Attacken führen zur vollständigen Übernahme des Identity-Management-Systems – mit weitreichenden Konsequenzen für die gesamte Authentifizierungs- und Berechtigungsinfrastruktur.

Handlungsbedarf für Administratoren

Die Aufnahme in den CISA-Katalog signalisiert, dass die Schwachstelle bereits aktiv in freier Wildbahn ausgenutzt wird. Organisationen, die Oracle Identity Manager einsetzen, sollten umgehend verfügbare Sicherheitsupdates einspielen. US-Bundesbehörden sind gemäß Binding Operational Directive (BOD) 22-01 verpflichtet, die Lücke innerhalb vorgegebener Fristen zu schließen.

Auch Unternehmen außerhalb des Regierungsumfelds sollten die Verwundbarkeit priorisiert behandeln, da Identity-Management-Systeme häufig Zugriff auf geschäftskritische Ressourcen und sensible Daten kontrollieren.

Weiteres

---

Bild/Quelle: https://depositphotos.com/de/home.html

Folgen Sie uns auf X

Folgen Sie uns auf Bluesky

Folgen Sie uns auf Mastodon

Hamsterrad Rebell – Cyber Talk