jwa7470/2025-oracle-sso-ldap-attack-post-incident-written-report
Rapporto post-incidente che analizza l'attacco alla supply chain SSO/LDAP di Oracle Cloud (CVE-2021-35587). Dettaglia lo sfruttamento dell'infrastruttura server legacy, l'impatto su oltre 140.000 tenant cloud, i risultati dell'analisi delle cause principali e le strategie di mitigazione per fasi.
Questo report post-incidente esamina la violazione della supply chain del 2025 che ha preso di mira l'infrastruttura di identità e autenticazione di Oracle Cloud. Descrive in dettaglio come gli attori delle minacce abbiano sfruttato una vulnerabilità di Remote Code Execution pre-autenticazione non patchata (CVE-2021-35587, CVSS 9.8) in istanze legacy di Oracle Access Manager (OAM) per falsificare token di autenticazione e operare inosservati per mesi. Il report valuta il blast radius—che ha avuto un impatto su oltre 140.000 tenant ed esposto 6 milioni di record utente—conduce un'analisi delle cause profonde sull'esposizione degli asset legacy e delinea la revoca immediata dei token, il potenziamento SIEM a breve termine e le raccomandazioni di sicurezza Zero Trust a lungo termine.
