jwa7470/2025-oracle-sso-ldap-attack-post-incident-written-report
Relatório pós-incidente analisando o ataque à cadeia de suprimentos do Oracle Cloud SSO/LDAP (CVE-2021-35587). Detalha a exploração da infraestrutura legada de servidores, o impacto em mais de 140.000 tenants de nuvem, as conclusões sobre a causa raiz e as estratégias de mitigação em fases.
Este relatório pós-incidente examina a violação na cadeia de suprimentos de 2025 que teve como alvo a infraestrutura de identidade e autenticação do Oracle Cloud. Ele detalha como os atores de ameaças exploraram uma vulnerabilidade de execução remota de código pré-autenticação sem correção (CVE-2021-35587, CVSS 9.8) em instâncias legadas do Oracle Access Manager (OAM) para forjar tokens de autenticação e operar sem serem detectados por meses. O relatório avalia o raio de impacto—que afetou mais de 140.000 locatários e expôs 6 milhões de registros de usuários—realiza uma análise de causa raiz sobre a exposição de ativos legados e descreve recomendações de revogação imediata de tokens, aprimoramento de SIEM em curto prazo e segurança Zero Trust em longo prazo.
