- Aktif istismar
- CWE-306
- CWE-502
- CWE-790
CVE-2021-35587
Oracle Access Manager OpenSSO Agent bileşeninde kimlik doğrulamasız ele geçirme açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1743 gün
- Kaydı açan
- oracle
Yönetici özeti
Kurumun kimlik ve erişim yönetimi sisteminde, hiçbir giriş bilgisi gerektirmeden uzaktan ele geçirmeye izin veren kritik bir açık var ve bu açığın gerçek saldırılarda kullanıldığı bilinmektedir. Sistemin ele geçirilmesi, ona bağlı tüm uygulamaların ve verilerin risk altına girmesi demektir. Güncellemenin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Oracle Fusion Middleware içindeki Oracle Access Manager ürününün OpenSSO Agent bileşeninde kritik bir güvenlik açığı bulunuyor. Etkilenen sürümler 11.1.2.3.0, 12.2.1.3.0 ve 12.2.1.4.0'dır. Kimlik doğrulaması yapmamış bir saldırgan, HTTP üzerinden ağ erişimiyle bu açığı kolayca istismar edebilir. Açık, CWE-306 (kimlik doğrulama eksikliği) ve CWE-502 (güvenilmeyen verinin seri durumdan çıkarılması) zayıflıklarıyla ilişkilendirilmiştir ve CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.
Saldırgan ne yapabilir?
Saldırgan, Oracle Access Manager'ı tamamen ele geçirerek gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki sağlayabilir. Kimlik ve erişim yönetimi altyapısının ele geçirilmesi, buna bağlı uygulamalara yetkisiz erişim anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: OpenSSO Agent). Supported versions that are affected are 11.1.2.3.0, 12.2.1.3.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Access Manager. Successful attacks of this vulnerability can result in takeover of Oracle Access Manager. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Oracle'ın güvenlik bülteninde yayımlanan güncellemeyi (Critical Patch Update) Oracle Access Manager 11.1.2.3.0, 12.2.1.3.0 ve 12.2.1.4.0 kurulumlarına uygulayın. Genel öneri
- CISA'nın gerekli eylemi doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Yama uygulanana kadar Oracle Access Manager'a gelen HTTP erişimini güvenilir ağlarla sınırlayın ve internete doğrudan açık olmasını engelleyin. Genel öneri
- Yama sonrasında sistemin daha önce ele geçirilip geçirilmediğini kontrol edin; olağandışı yönetici hesaplarını, yapılandırma değişikliklerini ve şüpheli süreçleri inceleyin. Genel öneri
Ek önlemler
- Oracle Access Manager yönetim ve aracı bileşenlerini ağ güvenlik duvarı veya ters vekil sunucu arkasına alın, yalnızca gerekli istemcilere erişim verin. Genel öneri
- OpenSSO Agent bileşenine yönelik olağandışı HTTP isteklerini web sunucusu ve uygulama günlüklerinde izleyin. Genel öneri
- Oracle'ın üç aylık Critical Patch Update takvimini düzenli takip edin ve desteklenen sürümlerde kalın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oracle Corporation Access Manager | 11.1.2.3.0 | – |
| 12.2.1.3.0 | – | |
| 12.2.1.4.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.