- ひとことでOracle の Identity Manager に、ログインなしで乗っ取られる弱点があります
- 深刻度9.8 緊急CVSS v3.1
- まずやることIdentity Manager のバージョンを確かめる
基本情報（データから表示）
| CVE番号 | CVE-2025-61757 |
|---|---|
| 製品 | Oracle Fusion Middleware |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-11-21 |
| 米国政府機関の対応期限 | 2025-12-12 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-306（重要な機能での認証の欠如） |
何が起きた
Oracle Fusion Middleware の Identity Manager で、REST WebServices という部分に、大事な機能なのにログインの確認がない弱点が見つかりました。攻撃者は HTTP で接続するだけで、Identity Manager を乗っ取れるおそれがあります。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、ログイン不要の攻撃者が悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Oracle Identity Manager を使って、利用者の ID やアクセス権を管理している組織です。影響を受けるのは、サポート中のバージョンの 12.2.1.4.0 と 14.1.2.1.0 です。
何をすればいい
この弱点は、Oracle の Critical Patch Update（October 2025）で修正されています。Oracle は、サポート中のバージョンを使い、Critical Patch Update のセキュリティパッチを遅れずに適用するよう強く勧めています。Oracle の公式の案内を確認して、パッチが適用されているか確かめてください。
やることチェックリスト
- Identity Manager のバージョンを確かめる
- Critical Patch Update（October 2025）を適用する
- サポート中のバージョンを使い続ける
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Oracle Fusion Middleware Missing Authentication for Critical Function Vulnerability
概要
Oracle Fusion Middleware contains a missing authentication for critical function vulnerability, allowing unauthenticated remote attackers to take over Identity Manager.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る