CVE-2026-61067
WysokieCVSS 8.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w Oracle Access Manager (komponent: Authentication Engine) pozwala atakującemu z niskimi uprawnieniami i dostępem do fizycznego segmentu komunikacyjnego na przejęcie systemu. Wymagany jest dostęp do sieci lokalnej.
Ocena ryzyka
Atakujący może całkowicie przejąć kontrolę nad Oracle Access Manager, co prowadzi do naruszenia poufności, integralności i dostępności danych uwierzytelniających.
Rekomendacja
Zastosuj najnowsze łatki bezpieczeństwa Oracle dla wersji 12.2.1.4.0 i 14.1.2.1.0. Ogranicz fizyczny dostęp do segmentów sieciowych, w których działa Oracle Access Manager.
Inne podatności w Oracle Access Manager
Zobacz wszystkie- CVE-2015-2593Wysokie
Nieokreślona podatność w komponencie Oracle Access Manager w Oracle Fusion Middleware 11.1.2.2 pozwala zdalnym uwierzytelnionym użytkownikom wpływać na poufność i integralność danych poprzez nieznane wektory związane z usługą konfiguracji.
- CVE-2015-0461Wysokie
Nieokreślona podatność w komponencie Oracle Access Manager w Oracle Fusion Middleware 11.1.1.5 i 11.1.1.7 pozwala zdalnym uwierzytelnionym użytkownikom wpływać na poufność i integralność danych poprzez nieznane wektory związane z silnikiem uwierzytelniania.
- CVE-2026-70905Krytyczne
Podatność w produkcie Oracle Access Manager (komponent: Agent infrastructure) pozwala nieuwierzytelnionemu atakującemu przez sieć i protokół SAML na przejęcie kontroli nad systemem. Atak jest łatwy do przeprowadzenia i nie wymaga interakcji użytkownika.
- CVE-2026-61065Krytyczne
W produkcie Oracle Access Manager (komponent: Authentication Engine) wykryto podatność, którą może wykorzystać nieuwierzytelniony atakujący przez sieć za pomocą HTTP. Udany atak może doprowadzić do całkowitego przejęcia Oracle Access Manager.
- CVE-2026-60358Krytyczne
Krytyczna podatność w Oracle Access Manager (komponent Authentication Engine) pozwala nieuwierzytelnionemu atakującemu na zdalne przejęcie kontroli nad serwerem poprzez sieć za pomocą HTTP. Atak może wpływać na inne produkty (zmiana zakresu).
- CVE-2026-60355Krytyczne
Krytyczna podatność w Oracle Access Manager (komponent Authentication Engine) pozwala nieuwierzytelnionemu atakującemu na zdalne przejęcie kontroli nad serwerem poprzez sieć za pomocą HTTP. Atak nie wpływa na inne produkty (brak zmiany zakresu).
- CVE-2026-60333Krytyczne
Podatność w Oracle Access Manager (komponent Authentication Engine) pozwala atakującemu z niskimi uprawnieniami na zdalne przejęcie systemu przez HTTP. Atak może wpływać na dodatkowe produkty (zmiana zakresu).
- CVE-2026-60328Krytyczne
Podatność w produkcie Oracle Access Manager (komponent Authentication Engine) pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP na przejęcie systemu.
- CVE-2026-60326Krytyczne
Podatność w produkcie Oracle Access Manager (komponent: Authentication Engine) pozwala nieuwierzytelnionemu atakującemu przez HTTP na nieautoryzowany dostęp do krytycznych danych oraz ich modyfikację. CVSS 9.1.
- CVE-2026-71124Średnie
Podatność w produkcie Oracle Access Manager (komponent: Authorization Engine) dotyczy wersji 12.2.1.4.0 i 14.1.2.1.0. Atakujący z niskimi uprawnieniami może przez sieć (TCP) spowodować częściową odmowę usługi (partial DoS).
Oryginalny opis (angielski, źródło NVD)
Vulnerability in the Oracle Access Manager product of Oracle Fusion Middleware (component: Authentication Engine). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows low privileged attacker with access to the physical communication segment attached to the hardware where the Oracle Access Manager executes to compromise Oracle Access Manager. Successful attacks of this vulnerability can result in takeover of Oracle Access Manager. CVSS 3.1 Base Score 8.0 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).