Критическая уязвимость в Oracle Identity Manager Connector: удаленный доступ через HTTP-запросы

В Банке данных угроз безопасности информации (BDU) зарегистрирована новая уязвимость с идентификатором BDU:2026-08890 (CVE-2026-34287). Она затрагивает компонент Core в программном комплексе Oracle Identity Manager Connector версии 12.2.1.4.0. Производитель уже подтвердил проблему и выпустил обновление.

Детали уязвимости

Oracle Identity Manager Connector - это решение для управления учетными записями и правами доступа. Оно используется в крупных компаниях и государственных организациях. Система автоматизирует процессы предоставления, изменения и отзыва привилегий. Если в таком продукте возникает брешь, последствия могут быть серьезными.

Суть уязвимости - в неправильном контроле доступа. Класс ошибки CWE-284 (Improper Access Control) означает, что система некорректно проверяет права субъекта при выполнении операций. Злоумышленник может воспользоваться этим удаленно, отправляя специально сформированные HTTP-запросы. Ему не требуется авторизация или какое-либо взаимодействие с пользователем. По сути, любой внешний нарушитель, знающий IP-адрес уязвимого сервера, способен получить несанкционированный доступ к устройству.

Оценки по шкале CVSS подтверждают высокий уровень угрозы. Базовая оценка второй версии составляет 9,4 балла из десяти - это высокий уровень опасности. А версия 3.1 дает уже 9,1 балла, что соответствует критической отметке. Вектор атаки выглядит следующим образом: атака может быть проведена удаленно (AV:N), для нее не требуется специальных условий (AC:L), аутентификации не нужно (PR:N). Кроме того, злоумышленник может получить полный доступ к конфиденциальности и целостности данных (C:H, I:H). Единственное, что не затрагивается, - это доступность системы (A:N). Иными словами, атакующий может считать и изменить любую информацию, но не может нарушить работу самой системы.

Такая комбинация делает уязвимость особенно привлекательной для целенаправленных атак. Например, группировки, специализирующиеся на шпионаже или хищении учетных данных, могут использовать ее для проникновения в инфраструктуру жертвы. Нарушитель способен не только получить доступ к хранимым паролям и политикам доступа, но и изменить права пользователей. Это позволит ему закрепиться в системе и двигаться латерально по сети.

Важно отметить, что уязвимость подтверждена производителем. В конце апреля 2026 года Oracle выпустила критическое обновление в рамках цикла Critical Patch Update. Исправление доступно на официальном портале компании. Специалистам по информационной безопасности настоятельно рекомендуется как можно скорее установить патч на всех затронутых серверах. Промедление может привести к компрометации инфраструктуры управления доступом.

Тем не менее, даже после установки обновления есть дополнительные меры предосторожности. Во-первых, стоит проверить журналы доступа на предмет подозрительных HTTP-запросов к компоненту Core за последние недели. Во-вторых, необходимо ограничить сетевой доступ к серверам Oracle Identity Manager Connector только доверенными IP-адресами. Использование сегментирования сети и строгих правил межсетевого экрана снизит риск эксплуатации уязвимости до момента обновления.

С точки зрения технического анализа, ошибка связана с недостаточными проверками в механизме авторизации. В коде компонента не хватает верификации прав субъекта при выполнении отдельных методов API. Это классический пример нарушения модели безопасности - злоумышленник может обойти проверки, манипулируя параметрами HTTP-запроса. Подробности эксплуатации пока не раскрыты, но характер уязвимости позволяет предположить, что для ее использования достаточно базовых знаний протоколов веб-коммуникаций.

В заключение подчеркну: уязвимость BDU:2026-08890 - серьезная угроза для всех организаций, использующих Oracle Identity Manager Connector версии 12.2.1.4.0. Критические оценки CVSS, удаленный вектор без необходимости аутентификации и высокая степень влияния на конфиденциальность и целостность данных делают ее одним из приоритетных кандидатов на немедленное устранение. Установка апрельского обновления безопасности Oracle - первый и главный шаг. Далее следует провести аудит логов и усилить сетевую изоляцию критических систем. Только комплексный подход минимизирует риски, связанные с этой уязвимостью.

Детали уязвимости

Ссылки