CISA warns Oracle Identity Manager RCE flaw is being actively exploited

Exploitation Active d’une Vulnérabilité Critique dans Oracle Identity Manager

Une faille de sécurité affectant Oracle Identity Manager, identifiée sous le code CVE-2025-61757, fait l’objet d’exploitations actives. La CISA (Cybersecurity & Infrastructure Security Agency) des États-Unis a émis une alerte, signalant que cette vulnérabilité pourrait avoir été exploitée dès le mois d’août, potentiellement comme une faille “zero-day”.

Points Clés :

• Nature de la Vulnérabilité : Il s’agit d’une vulnérabilité d’exécution de code à distance (RCE) avant authentification.
• Mécanisme d’Exploitation : La faille réside dans un contournement de l’authentification des API REST d’Oracle Identity Manager. En ajoutant des paramètres spécifiques tels que ?WSDL ou ;.wadl aux URL, un attaquant peut accéder à des points d’accès normalement protégés sans aucune autorisation préalable.
• Chaîne d’Attaque : Une fois l’accès non authentifié obtenu, les attaquants peuvent cibler un script Groovy. Bien que ce script soit normalement destiné à la compilation et non à l’exécution directe, il peut être manipulé pour exécuter du code malveillant lors de la phase de compilation grâce aux fonctionnalités de traitement des annotations de Groovy.
• Gravité : Les chercheurs décrivent cette vulnérabilité comme “relativement triviale et facilement exploitable par les acteurs malveillants”, en contraste avec la complexité de certaines failles Oracle précédentes.
• Correction : La faille a été corrigée par Oracle dans le cadre de ses mises à jour de sécurité d’octobre 2025, publiées le 21 octobre.

Vulnérabilités :

• CVE-2025-61757 : Vulnérabilité d’exécution de code à distance avant authentification dans Oracle Identity Manager. Elle découle d’un contournement d’authentification dans les API REST qui permet de traiter des points d’accès protégés comme publics.

Recommandations :

• Les agences du gouvernement fédéral américain ont reçu l’ordre de corriger cette vulnérabilité avant le 12 décembre, conformément à la directive opérationnelle contraignante BOD 22-01 de la CISA.
• Il est fortement recommandé à toutes les organisations utilisant Oracle Identity Manager d’appliquer les correctifs de sécurité d’octobre 2025 dès que possible pour se protéger contre cette menace activement exploitée.

Source