Fusion Middleware

Die Schwachstelle steckt im Produkt Oracle Access Manager innerhalb von Oracle Fusion Middleware, genauer in dessen OpenSSO-Agent-Komponente. Oracle Access Manager dient der zentralen Zugriffs- und Anmeldeverwaltung und schützt nachgelagerte Anwendungen. Der Defekt lässt sich aus der Ferne über HTTP ausnutzen, ohne dass der Angreifer angemeldet sein oder gültige Zugangsdaten besitzen muss. Der Angriff gilt zudem als technisch einfach durchführbar. Gelingt er, kann ein unauthentifizierter Angreifer den Oracle Access Manager vollständig übernehmen – mit voller Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des Systems. Da diese Komponente als zentrale Zugangskontrolle fungiert und häufig aus dem Netz erreichbar ist, wiegt eine Übernahme besonders schwer: Wer den Access Manager kontrolliert, kann die Authentifizierung für alle dahinterliegenden Anwendungen unterlaufen und damit den Schutz zahlreicher angebundener Dienste aushebeln.