CVE-2021-35587: Oracle Fusion Middleware Unspezifizierte Schwachstelle | Kitploit

CVE-2021-35587

KritischVeröffentlicht

Oracle Fusion Middleware Unspezifizierte Schwachstelle

Veröffentlicht: 19.01.2022
Aktualisiert: 21.10.2025
CNA zuweisen: oracle
Beweise beobachtet: 28.11.2022

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

96,3 %

Hoch · nächste 30 Tage

Perzentil: 99,9 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

CISA bekanntermaßen ausgenutzt

Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.

Zusammenfassung

Schwachstelle im Oracle Access Manager-Produkt von Oracle Fusion Middleware (Komponente: OpenSSO Agent). Unterstützte Versionen, die betroffen sind, sind 11.1.2.3.0, 12.2.1.3.0 und 12.2.1.4.0. Eine leicht ausnutzbare Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, Oracle Access Manager zu gefährden. Erfolgreiche Angriffe auf diese Schwachstelle können zur Übernahme von Oracle Access Manager führen. CVSS 3.1 Basis-Score 9.8 (Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit). CVSS-Vektor: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

Quellen

CVE-2021-35587PoC
Proof-of-Concept-Exploit für CVE-2021-35587, eine nicht authentifizierte Remote-Codeausführungs-Schwachstelle in Oracle Access Manager, die eine vollständige Übernahme des betroffenen Systems ermöglicht.
2025-Oracle-SSO-LDAP-Attack-Post-Incident-Written-ReportForschung
# Vorfallbericht zur Analyse des Oracle Cloud SSO/LDAP-Supply-Chain-Angriffs (CVE-2021-35587) Beschreibt die Ausnutzung der veralteten Serverinfrastruktur, die Auswirkungen auf über 140.000 Cloud-Mandanten, die Ergebnisse der Ursachenanalyse sowie die phasenweise umgesetzten Abwehrstrategien.

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.