Oracle Fusion Middleware の認証の欠如の脆弱性（CVE-2025-61757）

何が起きた

Oracle Fusion Middleware の Identity Manager で、REST WebServices という部分に、大事な機能なのにログインの確認がない弱点が見つかりました。攻撃者は HTTP で接続するだけで、Identity Manager を乗っ取れるおそれがあります。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、ログイン不要の攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Identity Manager を使って、利用者の ID やアクセス権を管理している組織です。影響を受けるのは、サポート中のバージョンの 12.2.1.4.0 と 14.1.2.1.0 です。

何をすればいい

この弱点は、Oracle の Critical Patch Update（October 2025）で修正されています。Oracle は、サポート中のバージョンを使い、Critical Patch Update のセキュリティパッチを遅れずに適用するよう強く勧めています。Oracle の公式の案内を確認して、パッチが適用されているか確かめてください。

やることチェックリスト

• Identity Manager のバージョンを確かめる
• Critical Patch Update（October 2025）を適用する
• サポート中のバージョンを使い続ける

用語メモ

Identity Manager

組織の利用者の ID や、どのシステムを使えるかという権限をまとめて管理する製品です。

Critical Patch Update

Oracle が定期的にまとめて出す、セキュリティの修正のセットです。

REST WebServices

プログラム同士が Web の仕組みを使ってデータをやりとりするための窓口です。