Отсутствие аутентификации в компоненте OUD Core Oracle Unified Directory позволяет удалённо захватить приложение

В компоненте OUD Core продукта Oracle Unified Directory обнаружены четыре уязвимости. Три из них относятся к классу отсутствия аутентификации для критичной функции. Четвёртая вызвана неправильным контролем доступа. Эксплуатация любой из них позволяет удалённому нарушителю получить полный контроль над приложением. При этом оценка трёх уязвимостей по шкале CVSS версии 3.1 достигает 10,0, то есть верхней границы шкалы.

Детали уязвимостей

Oracle Unified Directory - это сервер каталогов, который работает по протоколу LDAP. В нём хранятся учётные записи сотрудников, сведения об их правах и служебные данные приложений. Многие организации используют такой каталог для единого входа в корпоративные системы. Следовательно, компрометация сервера затрагивает не только его самого. Нарушитель получает доступ к структуре учётных записей и возможность её менять. Продукт входит в платформу Oracle Fusion Middleware, распространённую в госсекторе, банках, промышленности и связи.

Векторы уязвимостей описывают условия эксплуатации почти одинаково. Атака идёт по сети, сложность её низкая. Участие пользователя не требуется, значит цели не нужно открывать файл или переходить по ссылке. Нарушителю достаточно найти доступный сетевой порт каталога. Метрика выхода за границы компонента указывает на то, что последствия не ограничиваются одним сервисом. При успешной эксплуатации под угрозой оказываются приложения, которые доверяют каталогу. Обычно это корпоративная почта, системы документооборота, внутренние порталы и средства управления инфраструктурой.

Три уязвимости связаны с ядром каталога. Значительная часть функций развёртывания и обслуживания экземпляров выполняется в компоненте OUD Core. Часть этих функций не проверяет подлинность обращающегося. Ключевая уязвимость зарегистрирована как CVE-2026-60360. Её вектор не требует учётных данных, а участие пользователя не предполагается. Нарушителю достаточно сетевого доступа к сервису. Две другие уязвимости того же класса отличаются только требованием низких привилегий. Их эксплуатация начинается с малозначимой учётной записи.

Четвёртая уязвимость, CVE-2026-60429, вызвана ошибками контроля доступа. Её базовая оценка по версии 3.1 составляет 9,9. Учётные данные нужны, однако подойдут самые скромные права. Воздействие при этом выходит за границы уязвимого компонента, то есть затрагивает смежные сервисы. По устаревшей методологии CVSS версии 2.0 уязвимости получили 10 и 9 баллов. Даты выявления - 21 и 22 июля 2026 года. Производитель подтвердил обе группы проблем.

Уязвимы версии 12.2.1.4.0 и 14.1.2.1.0. Отсутствие проверки подлинности в ядре каталога относится к ошибкам архитектуры, а не к случайной опечатке в коде. Такие ошибки живут в продукте долго. Их находят реже, потому что для срабатывания не нужен необычный ввод. Достаточно обратиться к функции напрямую, минуя интерфейс. Именно поэтому подобные уязвимости привлекают внимание атакующих. Разработчик оставляет важную операцию доступной без проверки прав. Иногда так поступают ради удобства отладки. Иногда функцию просто забывают закрыть. В обоих случаях проблема не проявляется при обычной работе. Пользователи замечают её только при целенаправленном обращении к незащищённой операции. Поэтому обнаружить такую уязвимость сложнее, чем ошибку переполнения буфера, которая приводит к сбою при первом же неверном вводе. Анализ защищённости здесь требует понимания логики продукта.

Каталог редко существует сам по себе. К нему обращаются десятки внутренних сервисов. Полный контроль над ним позволяет менять пароли, добавлять учётные записи и читать хранящиеся сведения. Кроме того, нарушитель может выдавать себя за легитимный сервис и получать доступ к подключённым системам. Для организации это означает риск утечки персональных данных сотрудников и остановки сервисов, зависящих от единого входа. Каталоги учётных записей обслуживают множество корпоративных систем, поэтому их компрометация позволяет атакующему перейти к смежным ресурсам.

Исправления вошли в июльский бюллетень Oracle по безопасности. Администраторам нужно обновить продукт до версий, указанных в рекомендации производителя. Обновление закрывает все четыре уязвимости. Кроме того, стоит ограничить сетевой доступ к административным интерфейсам каталога. Внешним пользователям такие интерфейсы не нужны. Полезно включить подробное журналирование обращений к ядру каталога. Затем следует просмотреть журналы на предмет вызовов без предварительной аутентификации. Если обновление отложено, разумно изолировать сервер каталога на уровне межсетевого экрана. Дополнительно помогает сегментация сети и списки разрешённых адресов для подключений к каталогу. Настройте оповещения о вызовах функций управления из нетипичных источников.

Oracle публикует бюллетени безопасности по квартальному графику. Следовательно, исправления для подобных уязвимостей появляются четыре раза в год. Организациям с крупной инфраструктурой стоит держать этот график в календаре. Задержка с установкой исправлений растягивает период, когда сервер остаётся уязвимым. Сведения о проблемах внесены в Банк данных угроз безопасности информации, что делает их видимыми для служб защиты по всей отрасли.

Ошибки в логике проверки подлинности встречаются в корпоративных продуктах регулярно. Они опаснее многих ошибок работы с памятью. Для срабатывания не нужен ни вредоносный файл, ни убедительный предлог. Требуется лишь сетевой доступ к открытой функции. Каталоги учётных записей обслуживают десятки сервисов, поэтому обновление таких серверов стоит выполнять в первую очередь. Контроль доступа к административным интерфейсам и регулярный разбор журналов остаются базовыми мерами защиты.

Детали уязвимостей

Ссылки