jwa7470/2025-oracle-sso-ldap-attack-post-incident-written-report
# Vorfallbericht zur Analyse des Oracle Cloud SSO/LDAP-Supply-Chain-Angriffs (CVE-2021-35587) Beschreibt die Ausnutzung der veralteten Serverinfrastruktur, die Auswirkungen auf über 140.000 Cloud-Mandanten, die Ergebnisse der Ursachenanalyse sowie die phasenweise umgesetzten Abwehrstrategien.
Dieser Bericht nach dem Vorfall untersucht den Supply-Chain-Vorfall von 2025, der die Identitäts- und Authentifizierungsinfrastruktur von Oracle Cloud angriff. Er beschreibt detailliert, wie Bedrohungsakteure eine ungepatchte Pre-Authentication-Remote-Code-Execution-Schwachstelle (CVE-2021-35587, CVSS 9.8) in veralteten Oracle Access Manager (OAM)-Instanzen ausnutzten, um Authentifizierungstokens zu fälschen und monatelang unentdeckt zu operieren. Der Bericht bewertet den Schadensradius – der über 140.000 Mandanten betraf und 6 Millionen Benutzerdatensätze offenlegte –, führt eine Ursachenanalyse zur Gefährdung durch Altsysteme durch und skizziert Empfehlungen für die sofortige Token-Widerrufung, kurzfristige SIEM-Verbesserungen und langfristige Zero-Trust-Sicherheitsmaßnahmen.
