Worum es geht

Oracle Fusion Middleware bündelt mehrere Produkte zur Erstellung, Betrieb und Management von intelligenten Business Anwendungen. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Oracle Fusion Middleware Identity Manager und Web Services Manager ausnutzen, um beliebigen Programmcode auszuführen, was möglicherweise zu einer vollständigen Kompromittierung und Übernahme des Systems führen kann.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• beliebigen Programmcode auszuführen
• was möglicherweise zu einer vollständigen Kompromittierung
• Übernahme des Systems führen kann

Bin ich betroffen?

Betroffen sind laut BSI:

• Oracle Fusion Middleware Identity Manager <12.2.1.4.0
• Oracle Fusion Middleware Web Services Manager <12.2.1.4.0
• Oracle Fusion Middleware Identity Manager <14.1.2.1.0
• Oracle Fusion Middleware Web Services Manager <14.1.2.1.0

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Oracle Fusion Middleware Identity Manager 12.2.1.4.0
• Oracle Fusion Middleware Web Services Manager 12.2.1.4.0
• Oracle Fusion Middleware Identity Manager 14.1.2.1.0
• Oracle Fusion Middleware Web Services Manager 14.1.2.1.0

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.