CVE-2021-35587
Oracle Fusion Middleware अनिर्दिष्ट भेद्यता
- प्रकाशित
- 19 जन॰ 2022
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- oracle
- साक्ष्य देखे गए
- 28 नव॰ 2022
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Oracle Fusion Middleware के Oracle Access Manager उत्पाद में भेद्यता (घटक: OpenSSO Agent)। प्रभावित समर्थित संस्करण 11.1.2.3.0, 12.2.1.3.0 और 12.2.1.4.0 हैं। आसानी से शोषणीय भेद्यता अनअथेंटिकेटेड हमलावर को HTTP के माध्यम से नेटवर्क एक्सेस के साथ Oracle Access Manager से समझौता करने की अनुमति देती है। इस भेद्यता के सफल हमलों के परिणामस्वरूप Oracle Access Manager पर पूर्ण नियंत्रण प्राप्त किया जा सकता है। CVSS 3.1 आधार स्कोर 9.8 (गोपनीयता, अखंडता और उपलब्धता पर प्रभाव)। CVSS वेक्टर: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)।
स्रोत
modules/exploits/multi/http/oracle_access_manager_rce_cve_2021_35587.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,Unix,Windows($.exploit_multi/http/oracle_access_manager_rce_cve_2021_35587.platform)
- verification: check_declared($.exploit_multi/http/oracle_access_manager_rce_cve_2021_35587.check)
http/cves/2021/CVE-2021-35587.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
CVE-2021-35587 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, Oracle Access Manager में एक बिना प्रमाणीकरण के रिमोट कोड निष्पादन भेद्यता, जो प्रभावित सिस्टम का पूर्ण अधिग्रहण करने की अनुमति देती है।
घटना-पश्चात रिपोर्ट जो Oracle Cloud SSO/LDAP सप्लाई चेन हमले (CVE-2021-35587) का विश्लेषण करती है। इसमें लीगेसी सर्वर इंफ्रास्ट्रक्चर के शोषण, 140,000+ क्लाउड टेनेंट्स पर प्रभाव, मूल-कारण निष्कर्ष, और चरणबद्ध शमन रणनीतियों का विवरण दिया गया है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।