Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-287
  • CWE-306

CVE-2026-91408

Oracle Identity Manager End User Self Service bileşeninde kimlik doğrulamasız ele geçirme açığı

Oracle Corporation Oracle Identity Manager

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
21 Eki 2026
Açık yaşı
7 gün
Kaydı açan
oracle

Yönetici özeti

Bu açık, kimlik yönetim sisteminin tamamen saldırganın kontrolüne geçmesine neden olabilir ve kuruluşun kullanıcı hesaplarını ve erişim yetkilerini riske atabilir. Etkilenen sürümler kullanılıyorsa, en kısa sürede güncelleme yapılması kritik öneme sahiptir.

ÖzetTürkçe

Oracle Identity Manager ürününün End User Self Service bileşeninde, kimlik doğrulaması gerektirmeyen bir zafiyet bulunmaktadır. Zafiyet, 12.2.1.4.0 ve 14.1.2.1.0 sürümlerini etkilemektedir. Saldırgan, T3 ve IIOP protokolleri üzerinden ağa erişebildiği sürece bu açığı kolayca istismar edebilir.

Saldırgan ne yapabilir?

Başarılı bir saldırı, saldırganın Oracle Identity Manager sistemini tamamen ele geçirmesine yol açabilir; gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşur.

Kaynaktaki açıklama (İngilizce)

Vulnerability in the Oracle Identity Manager product of Oracle Fusion Middleware (component: End User Self Service). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3, IIOP to compromise Oracle Identity Manager. Successful attacks of this vulnerability can result in takeover of Oracle Identity Manager. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

Ne yapmalı?

  1. Oracle'ın güvenlik danışmanında belirtilen düzeltme yamasını veya güncellemesini uygulayın; etkilenen sürümler 12.2.1.4.0 ve 14.1.2.1.0'dır. Genel öneri
  2. Yama uygulanana kadar Oracle Identity Manager sunucusuna T3 ve IIOP protokolleri üzerinden erişimi güvenlik duvarı kurallarıyla yalnızca güvenilen ağlarla sınırlandırın. Genel öneri
  3. Yama sonrasında sistemin güncel sürümde çalıştığını doğrulayın ve erişim günlüklerinde şüpheli bağlantı veya yetkisiz işlem olup olmadığını inceleyin. Genel öneri

Ek önlemler

  • Oracle Identity Manager sunucularını internete doğrudan açmayın ve yönetim ile servis arayüzlerini ağ segmentasyonuyla izole edin. Genel öneri
  • T3 ve IIOP gibi gereksiz protokollerin kullanılmadığı ortamlarda bu protokolleri devre dışı bırakmayı değerlendirin. Genel öneri
  • Kimlik yönetim sistemi günlüklerini merkezi bir izleme çözümüne aktarın ve olağandışı oturum veya yönetici işlemleri için uyarı kuralları tanımlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oracle Corporation Oracle Identity Manager 12.2.1.4.0 –
14.1.2.1.0 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.