Oracle Identity Manager の認証不備で乗っ取り（悪用確認済み）

Critical（CVSS 9.8）に分類されるOracle Fusion Middleware / Identity Managerの脆弱性です。Oracle Fusion Middleware の Identity Manager（コンポーネントは REST WebServices）に認証の欠落があり、未認証の攻撃者が HTTP 経由で製品を完全に乗っ取れる。Oracle は容易に悪用可能（Easily exploitable）で Identity Manager の乗っ取りに至ると記しており、影響を受けるサポート対象版は 12.2.1.4.0 と 14.1.2.1.0 である。参照に載る SANS Internet Storm Center の日記（diary 32506）によれば、末尾が .wadl の URL が認証免除になっていることが原因で、セミコロンを挟んで ;.wadl とすると任意の URL へ未認証で到達でき、そこから遠隔コード実行につながる。同記事は PoC として /iam/governance/applicationmanagement/templates;.wadl を挙げ、実ログに groovyscriptstatus;.wadl への POST が 2025 年 8 月 30 日から 9 月 9 日に記録されていたと報告している（この初期の走査は報告者 Searchlight Cyber 自身の調査だったと後に追記されている）。修正は 2025 年 10 月の Critical Patch Update（10 月 21 日公開）で提供されている。CVSS は Oracle（CNA、Secondary）の 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。CISA KEV には 2025-11-21 に収載され、是正期限は 2025-12-12、ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed である。

該当判定は二段構えで、まず Identity Manager の版が 12.2.1.4.0 または 14.1.2.1.0 かを確認し（OPatch の lsinventory 出力で適用済みパッチと版を突き合わせる）、次に 2025 年 10 月の CPU に含まれる該当パッチが適用済みかを見る。版だけを見て「サポート対象版だから安全」と判断しないことが重要で、この CVE はサポート対象版そのものが対象である。見落としやすいのは、OIM の管理 UI ではなく REST の面で、OHS や WebGate、ロードバランサ経由で /iam 配下がインターネットから到達できる構成、外部連携のために意図的に公開した API 経路、検証環境が本番と同じ経路で外に出ているケースが該当する。すぐ CPU を当てられない場合の緩和は、前段の WAF・リバースプロキシでパス中の ;.wadl および末尾 .wadl を含むリクエストを遮断し、/iam 配下の到達元を業務上必要な範囲に絞ることである。これは公式の緩和策として案内されているものではないため、あくまで CPU 適用までのつなぎとして扱う。この CVE は KEV 収載済みで、是正期限 2025-12-12 は今日（2026-08-17）から見て大幅に超過しているため、未適用の環境が残っているなら期限超過として扱い、更新だけで終わらせてはいけない。具体的には、アクセスログを遡って ;.wadl を含むリクエストの有無と応答コードを確認し、Groovy スクリプト実行に関わる経路（上記の groovyscriptstatus のような API）への未認証アクセスの成功、OIM 上に不審な管理者アカウントやスケジュールジョブが追加されていないか、外部への予期しない通信が無いかまで見る。痕跡が見つかった場合、および見つからなくても外部到達性があった期間が長い場合は、OIM が保持する管理者資格情報・連携用のアカウントとキーの再発行まで行う。完了条件は、CPU 適用の確認、外部到達経路の見直し、ログ遡及と資格情報の扱いの判断、この三つが揃った時点である。

Oracle Fusion Middleware / Identity Manager を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-61757）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/12/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。