文章总结： CVE-2025-61757是OracleIdentityManager的高危漏洞，结合了身份验证绕过和Groovy注解导致的远程代码执行。攻击者可无认证获取系统控制权，威胁企业身份体系。建议立即应用官方补丁，若无法升级则应限制RESTAPI访问并加强日志监控。
综合评分： 91
文章分类： 漏洞分析,WEB安全,漏洞预警,红队,应用安全
CVE-2025-61757：Oracle Identity Manager 身份验证绕过 + RCE 深度技术分析
云梦DC
云梦安全
2025年11月25日 10:33
河南
1. 漏洞概述
2025 年 1 月，Oracle Identity Manager（OIM）爆出高危漏洞 CVE-2025-61757，其严重程度被评为 CVSS 9.8。该漏洞已经被 CISA 纳入 KEV（Known Exploited Vulnerabilities）目录，确认存在真实野外利用。
漏洞本质是：
- 身份验证绕过（Auth Bypass）
- 结合 Groovy 注解编译链的远程代码执行（RCE）
攻击者可无需认证即可触发完整利用链，这对企业 IAM（身份治理体系）构成极高威胁。
2. 受影响系统
官方与多家安全机构确认：
| 组件 | 受影响版本 |
| — | — |
| Oracle Identity Manager | 12.2.1.4.0 , 14.1.2.1.0 |
由于 OIM 主要部署在大型企业、政府与金融机构，其潜在影响范围十分广泛。
3. 技术细节（安全级别描述）
3.1 身份验证绕过（Auth Bypass）
研究者发现 OIM 某些公开的 REST 接口 存在逻辑缺陷。通过构造特定 URI 参数，接口会错误地评估调用者身份，导致：
- 无需提供 token
- 无需 session
- 无需任何 OIM 权限
攻击者就能以“已验证身份”进入执行逻辑。
该漏洞影响面较大，因为 OIM 的 REST API 通常对外开放给企业内部系统用于自动化对接，一旦暴露到公网风险巨大。
3.2 Groovy 注解链导致 RCE
OIM 在执行部分动态流程时，会调用 Groovy 脚本 进行处理。其中某些注解在 编译时（compile-time） 会被执行。
攻击者绕过认证后，可向相关接口提交包含恶意注解的 Groovy 代码，导致：
- Groovy 解析器在编译脚本时执行注解中恶意指令
- 执行上下文是在 OIM 服务进程权限下
- 最终达到 远程代码执行（RCE）
这是典型的“业务逻辑缺陷 + 动态脚本执行链”组合漏洞。
4. 攻击链示意
- 攻击者扫描 OIM 暴露的 REST API
- 利用特定 URI 绕过认证
- 构造包含恶意注解的 Groovy 脚本
- OIM 编译脚本 → 注解被执行
- 实现完全 RCE
- 获取 OIM 权限体系 → 进一步横向渗透
由于 OIM 属于身份治理系统，被攻破后，攻击者会对企业整体权限体系产生长链式影响，例如：
- 任意账号权限提升（Privilege Escalation）
- 重置管理员密码
- 操纵关联系统的用户授权
- 持续化后门
5. 检测与日志排查
建议重点排查以下事件：
5.1 网络侧
- 异常频繁访问 OIM REST 接口
POST请求中包含不常见的参数结构- 突然来自外网或陌生 IP 的访问流量
5.2 应用侧
- Groovy 脚本编译异常日志
- OIM provisioning 流程中出现未知操作
- 用户生命周期管理流程被非管理员触发
- 账户权限异常变更记录
5.3 主机侧
- OIM 服务器出现异常外联
- 进程启动子 shell
- WebLogic 日志出现可疑类加载信息
6. 缓解建议
6.1 立即升级
目前 Oracle 已发布补丁，这是唯一真正意义上的彻底修复方案。
6.2 短期紧急措施（无法立即升级时）
- 封禁暴露的 OIM REST API
- 将 OIM 接口限定为内网访问
- 禁止 Groovy 动态脚本执行（根据 Oracle 建议）
- 限制管理端口暴露（WebLogic Console / AdminServer）
6.3 强化监控
- 启用 API 网关流量审查
- 对 OIM 的所有权限变更行为设置告警
- 检查所有 OIM 管理员账号是否被非法修改
7. 总结
CVE-2025-61757 是近年来最危险的企业级 IAM 漏洞之一。其危害不仅在于 RCE 本身，更在于：
OIM 是企业访问控制的“中枢系统”，一旦被攻破，整个组织的身份体系将失去可信度。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：云梦安全 云梦DC《CVE-2025-61757：Oracle Identity Manager 身份验证绕过 + RCE 深度技术分析》