Bulletins de Sécurité

Oracle a publié en octobre 2025 des correctifs critiques permettant de corriger plusieurs vulnérabilités dans leurs produits. La plus critique d’entre elles affecte la solution Identity Manager de la suite Oracle Fusion Middleware. Cette vulnérabilité a un score CVSSv3 de 9.8. Celle-ci a récemment fait l’objet d’analyses publiques décrivant ses mécanismes d’exploitation.

La vulnérabilité, localisée dans le composant REST WebServices du produit Identity Manager, peut permettre à un attaquant de contourner l’authentification via l’ajout à l’URL de la chaîne de caractères “;.wadl” et d’exécuter du code arbitraire sur le système d'exploitation sous-jacent. Son exploitation ne nécessite aucun identifiant valide.

L’exploitation de cette CVE pourrait permettre à un attaquant à minima une compromission des identités présentes sur la solution, une exfiltration de données, et la compromission complète de la machine hébergeant la solution.

A l’heure actuelle, aucune trace d’exploitation avérée par des groupes d’attaquants n’a été remontée. Cependant, au regard de la facilité d’exploitation et du niveau de criticité, il est probable que des tentatives apparaissent dans les prochains jours.

Etant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre.