Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-306

CVE-2025-61757

Oracle Identity Manager REST WebServices'te kimlik doğrulama eksikliği

Oracle Corporation Identity Manager

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
8 Eki 2026
Açık yaşı
371 gün
Kaydı açan
oracle
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 21 Kas 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 12 Ara 2025.

Yönetici özeti

Kurumsal kimlik ve erişim yönetiminde kullanılan Oracle Identity Manager'da, giriş yapmadan ağ üzerinden sistemin ele geçirilmesine izin veren kritik bir açık var ve bu açık aktif olarak istismar ediliyor. Kimlik yönetim sistemi ele geçirilirse kurumdaki diğer sistemlere de erişim riski doğar. Yama ve önlemlerin gecikmeden uygulanması gerekir.

ÖzetTürkçe

Oracle Fusion Middleware kapsamındaki Identity Manager ürününün REST WebServices bileşeninde, kritik bir işlev için kimlik doğrulama yapılmaması (CWE-306) sorunu bulunuyor. Etkilenen sürümler 12.2.1.4.0 ve 14.1.2.1.0'dır. Kimliği doğrulanmamış bir saldırgan, HTTP üzerinden ağ erişimiyle bu açığı kolayca istismar edebilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan kimlik bilgisi olmadan Identity Manager'ı tamamen ele geçirebilir; gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşur. CVSS puanı 9.8'dir.

Kaynaktaki açıklama (İngilizce)

Vulnerability in the Identity Manager product of Oracle Fusion Middleware (component: REST WebServices). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Identity Manager. Successful attacks of this vulnerability can result in takeover of Identity Manager. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Oracle'ın güvenlik bülteninde yayımladığı yamayı veya düzeltmeyi, 12.2.1.4.0 ve 14.1.2.1.0 sürümlerini çalıştıran tüm Identity Manager kurulumlarına gecikmeden uygulayın. Genel öneri
  2. CISA KEV gereği: Üretici talimatlarına göre önlemleri uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
  3. Yama uygulanana kadar Identity Manager REST WebServices arayüzüne internetten ve güvenilmeyen ağlardan erişimi güvenlik duvarı veya ters vekil ile kısıtlayın. Genel öneri

Ek önlemler

  • Identity Manager'ı doğrudan internete açmayın; yönetim ve REST arayüzlerine yalnızca gerekli iç ağlardan veya VPN üzerinden erişim verin. Genel öneri
  • REST WebServices uç noktalarına yönelik kimliği doğrulanmamış veya olağan dışı HTTP isteklerini günlüklerde inceleyin; istismar belirtisi varsa olay müdahalesi başlatın. Genel öneri
  • Sistemin ele geçirilmiş olabileceği ihtimaline karşı yeni veya değiştirilmiş yönetici hesaplarını ve yetkileri kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Corporation Identity Manager 12.2.1.4.0 –
14.1.2.1.0 –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.