jwa7470/2025-oracle-sso-ldap-attack-post-incident-written-report
Informe posterior al incidente que analiza el ataque a la cadena de suministro de Oracle Cloud SSO/LDAP (CVE-2021-35587). Detalla la explotación de la infraestructura de servidores heredados, el impacto en más de 140 000 inquilinos de la nube, los hallazgos de la causa raíz y las estrategias de mitigación por fases.
Este informe posterior al incidente examina la brecha en la cadena de suministro de 2025 dirigida a la infraestructura de identidad y autenticación de Oracle Cloud. Detalla cómo los actores de amenazas explotaron una vulnerabilidad de Ejecución Remota de Código previa a la autenticación sin parchear (CVE-2021-35587, CVSS 9.8) en instancias heredadas de Oracle Access Manager (OAM) para falsificar tokens de autenticación y operar sin ser detectados durante meses. El informe evalúa el radio de explosión—que afectó a más de 140,000 inquilinos y expuso 6 millones de registros de usuarios—realiza un análisis de causa raíz sobre la exposición de activos heredados, y describe la revocación inmediata de tokens, la mejora del SIEM a corto plazo y las recomendaciones de seguridad de Confianza Cero a largo plazo.
