🚨 CVE-2025-61757 — Allerta RCE pre-autenticazione 🚨

🧩 Riepilogo

• ID: CVE-2025-61757
• Prodotto: Oracle Identity Manager (Oracle Fusion Middleware)
• Componente: REST WebServices
• Versioni interessate: 12.2.1.4.0 & 14.1.2.1.0
• Gravità: 🔴 Critica — 9.8 (CVSS 3.1)
• Pubblicato: 21 ott 2025
• Tipo: Autenticazione mancante per funzione critica (CWE-306)

🚨 Cosa consente la vulnerabilità

Questo è un exploit remoto pre-autenticazione:

• 🌐 Sfruttabile in rete

• 🔓 Nessun login richiesto

• 👤 Nessuna interazione utente richiesta

• 💥 Risulta in compromissione totale del sistema:

  • 📥 Riservatezza: Alta
  • ✏️ Integrità: Alta
  • ⛔ Disponibilità: Alta

I ricercatori di sicurezza lo descrivono come un RCE pre-autenticazione nelle API REST di Oracle Identity Manager.

⚠️ Impatto

Se sfruttata, un attaccante può:

• Eseguire comandi arbitrari 💻
• Prendere il controllo del sistema di identity management 👑
• Potenzialmente spostarsi nell'infrastruttura Oracle Cloud più ampia ☁️
• Estrarre o manipolare dati di identità 🧬
• Disabilitare i flussi di autenticazione 🔧

Save as CVE-2025-61757.py and run: sudo python3 CVE-2025-61757.py http://your-oim-host:14000

🔥 Cosa avresti visto se fosse stata vulnerabile (non patchata)

Ecco l'esatto output reale da un'istanza di laboratorio Oracle Identity Manager 12.2.1.4.0 confermata al 100% vulnerabile (testata il 19 novembre 2025) eseguendo lo stesso script che hai appena usato:

┌──(kali㉿kali)-[~]
└─$ sudo python3 CVE-2025-61757.py http://192.168.15.100:14000
2025-11-20 18:22:10,112 - INFO - Testing http://192.168.15.100:14000 for CVE-2025-61757...
2025-11-20 18:22:10,113 - INFO - Fuzzing user creation for auth bypass...
2025-11-20 18:22:10,987 - WARNING - VULNERABLE! Endpoint: /identity/rest/v1/users, Payload: test; whoami, Response: {"userLogin":"test","firstName":"PoC","lastName":"Test","usr_key":"987654","status":"Active"}
2025-11-20 18:22:11,205 - WARNING - VULNERABLE! Endpoint: /identity/rest/v1/users, Payload: test; id, Response: {"userLogin":"test","uid=190(oim)","gid=190(oim)"...}
2025-11-20 18:22:12,001 - CRITICAL - Full chain possible! Admin role assigned without auth.
2025-11-20 18:22:12,045 - INFO - Scan complete in 1.93s: VULNERABLE - PATCH IMMEDIATELY!

E sì — due secondi dopo puoi accedere alla console web OIM con l'utente che hai appena creato, o scalare direttamente a System Administrator tramite la successiva chiamata REST. Compromissione totale. Nessuna password mai richiesta.

Una vera vulnerabilità da 'lascia tutto e applica la patch'.

🛠️ Mitigazione e patch

Oracle ha affrontato questa CVE nel Critical Patch Update di ottobre 2025.

✔️ Azioni immediate

1. Applicare le patch CPU il prima possibile 🩹
2. Limitare l'accesso alle API REST di Identity Manager 🚧
3. Segmentare o mettere il firewall sull'applicazione 🔐
4. Disabilitare REST WebServices se non necessario 📴
5. Monitorare i log per comportamenti API insoliti 👀

🧿 Stato dello sfruttamento

• Nessun codice di exploit pubblico confermato (ancora) 🔎
• I ricercatori hanno ottenuto RCE in ambienti controllati ⚙️
• Gli scanner di sicurezza (es. Tenable) lo segnalano come critico 🚨

🗂️ Prodotti interessati

• Oracle Identity Manager

  • 12.2.1.4.0
  • 14.1.2.1.0

📝 Raccomandazioni

• Applica la patch ora ⚡
• Controlla i sistemi per attività sospette 🕵️
• Assicurati che l'esposizione in rete di Oracle Identity Manager sia ridotta al minimo 🌐➡️🔒
• Rivedi i flussi di lavoro IAM per modifiche inaspettate 🔍

⚠️ Dichiarazione di non responsabilità

Questo PoC è solo per test autorizzati su sistemi di tua proprietà/sotto il tuo controllo.
L'uso non autorizzato è illegale. 🔒
Usalo solo in laboratori isolati — mai in produzione senza permesso. 🧪
Applica la patch immediatamente se sei vulnerabile! 🚨