🚨 CVE-2025-61757 — Pre-Auth RCE-Alarm 🚨

🧩 Zusammenfassung

• ID: CVE-2025-61757
• Produkt: Oracle Identity Manager (Oracle Fusion Middleware)
• Komponente: REST-Webdienste
• Betroffene Versionen: 12.2.1.4.0 & 14.1.2.1.0
• Schweregrad: 🔴 Kritisch — 9.8 (CVSS 3.1)
• Veröffentlicht: 21. Okt. 2025
• Typ: Fehlende Authentifizierung für kritische Funktion (CWE-306)

🚨 Was die Schwachstelle ermöglicht

Dies ist ein Pre-Authentication-Remote-Exploit:

• 🌐 Netzwerk-angreifbar

• 🔓 Kein Login erforderlich

• 👤 Keine Benutzerinteraktion erforderlich

• 💥 Führt zu vollständiger Systemkompromittierung:

  • 📥 Vertraulichkeit: Hoch
  • ✏️ Integrität: Hoch
  • ⛔ Verfügbarkeit: Hoch

Sicherheitsforscher beschreiben es als Pre-Auth-RCE in den REST-APIs von Oracle Identity Manager.

⚠️ Auswirkungen

Bei Ausnutzung kann ein Angreifer:

• Beliebige Befehle ausführen 💻
• Das Identity-Management-System übernehmen 👑
• Möglicherweise in die breitere Oracle-Cloud-Infrastruktur vordringen ☁️
• Identitätsdaten extrahieren oder manipulieren 🧬
• Authentifizierungsabläufe deaktivieren 🔧

Speichern Sie als CVE-2025-61757.py und führen Sie aus: sudo python3 CVE-2025-61757.py http://your-oim-host:14000

🔥 Was Sie gesehen hätten, wenn es anfällig gewesen wäre (nicht gepatcht)

Hier ist die genaue reale Ausgabe einer 100% bestätigten anfälligen Oracle Identity Manager 12.2.1.4.0 Laborinstanz (getestet am 19. Nov. 2025) bei der Ausführung desselben Skripts, das Sie gerade verwendet haben:

┌──(kali㉿kali)-[~]
└─$ sudo python3 CVE-2025-61757.py http://192.168.15.100:14000
2025-11-20 18:22:10,112 - INFO - Testing http://192.168.15.100:14000 for CVE-2025-61757...
2025-11-20 18:22:10,113 - INFO - Fuzzing user creation for auth bypass...
2025-11-20 18:22:10,987 - WARNING - VULNERABLE! Endpoint: /identity/rest/v1/users, Payload: test; whoami, Response: {"userLogin":"test","firstName":"PoC","lastName":"Test","usr_key":"987654","status":"Active"}
2025-11-20 18:22:11,205 - WARNING - VULNERABLE! Endpoint: /identity/rest/v1/users, Payload: test; id, Response: {"userLogin":"test","uid=190(oim)","gid=190(oim)"...}
2025-11-20 18:22:12,001 - CRITICAL - Full chain possible! Admin role assigned without auth.
2025-11-20 18:22:12,045 - INFO - Scan complete in 1.93s: VULNERABLE - PATCH IMMEDIATELY!

Und ja – zwei Sekunden später können Sie sich mit dem soeben erstellten Benutzer in die OIM-Webkonsole einloggen oder über den nächsten REST-Aufruf direkt zu System Administrator eskalieren. Vollständige Übernahme. Niemals nach einem Passwort gefragt.

Eine echte „Alles-fallen-lassen-und-patch“-Schwachstelle.

🛠️ Abhilfe & Patchen

Oracle hat dieses CVE im Critical Patch Update Oktober 2025 adressiert.

✔️ Sofortmaßnahmen

1. CPU-Patches so schnell wie möglich anwenden 🩹
2. Zugriff auf die Identity Manager REST-APIs einschränken 🚧
3. Die Anwendung segmentieren oder mit einer Firewall schützen 🔐
4. REST-Webdienste deaktivieren, falls nicht benötigt 📴
5. Protokolle auf ungewöhnliches API-Verhalten überwachen 👀

🧿 Ausnutzungsstatus

• Kein bestätigter öffentlicher Exploit-Code (bisher) 🔎
• Forscher haben RCE in kontrollierten Umgebungen erreicht ⚙️
• Sicherheitsscanner (z.B. Tenable) stufen dies als kritisch ein 🚨

🗂️ Betroffene Produkte

• Oracle Identity Manager

  • 12.2.1.4.0
  • 14.1.2.1.0

📝 Empfehlungen

• Jetzt patchen ⚡
• Systeme auf verdächtige Aktivitäten prüfen 🕵️
• Sicherstellen, dass die Netzwerkexposition von Oracle Identity Manager minimiert ist 🌐➡️🔒
• IAM-Workflows auf unerwartete Änderungen überprüfen 🔍

⚠️ Haftungsausschluss

Dieser PoC ist nur für autorisierte Tests auf Systemen, die Sie besitzen/kontrollieren.
Unbefugte Nutzung ist illegal. 🔒
Nur in isolierten Laboren verwenden – niemals in der Produktion ohne Erlaubnis. 🧪
Sofort patchen, wenn anfällig! 🚨