CVE-2025-61757criticalbajo ataqueCWE-306

CVE-2025-61757: fallo crítico en Oracle Corporation Identity Manager

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 89%
de la publicación al arma30 días
Publicada en NVD21 oct
1ª PoC+30d
CISA KEV+31d
probabilidad de explotación
89%top 1% de las CVE
explotación observada
síCISA + VulnCheck
3 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-12-12

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Oracle Identity Manager tiene una falla crítica en sus servicios web REST que permite a los atacantes asumir el control del sistema sin necesidad de contraseña o credenciales de inicio de sesión. Un atacante en la red puede explotar esto para obtener control total sobre las identidades de usuario y accesos.

Detalle técnico

Existe una vulnerabilidad de ejecución remota de código sin autenticación en el componente REST WebServices de Oracle Identity Manager (versiones 12.2.1.4.0 y 14.1.2.1.0) que requiere solo acceso de red a través de HTTP, sin autenticación ni interacción del usuario. La explotación exitosa resulta en compromiso total de confidencialidad, integridad y disponibilidad del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Vulnerability in the Identity Manager product of Oracle Fusion Middleware (component: REST WebServices). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.1.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Identity Manager. Successful attacks of this vulnerability can result in takeover of Identity Manager. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Oracle Corporation · Identity Manager
PoCs públicas encontradas — 3
githubgithub.com/Jinxia62/Oracle-Identity-Manager-CVE-2025-61757★ 4githubgithub.com/ngominhquocngu/Blackash-CVE-2025-61757★ 0vulncheckvulncheck.com/xdb/35d1c2c721d1no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Oracle Corporation Identity Manager

En el mismo producto, de las más peligrosas a las menos.

CVE-2017-10151—CVE-2017-10151EPSS 3.9%CVE-2017-3553—CVE-2017-3553EPSS 2.4%CVE-2020-2728HIGHCVE-2020-2728EPSS 2.0%CVE-2018-3179—CVE-2018-3179EPSS 1.8%CVE-2021-2457MEDIUMCVE-2021-2457EPSS 1.2%CVE-2019-2858—CVE-2019-2858EPSS 0.9%
Referencias
https://isc.sans.edu/diary/rss/32506https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-61757https://www.oracle.com/security-alerts/cpuoct2025.html