🔴 《严重安全漏洞：CVE-2026-60360》

CVSS 评分: 严重（10.0）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

该漏洞存在于 Oracle Fusion Middleware 产品中的 Oracle Unified Directory 组件（OUD Core）中。受影响的支持版本为 12.2.1.4.0 和 14.1.2.1.0。该漏洞易于利用，允许未经身份验证的攻击者通过网络访问 LDAP 协议来破坏 Oracle Unified Directory。尽管漏洞位于 Oracle Unified Directory 中，但攻击可能显著影响其他产品（存在范围变化，scope change）。成功利用此漏洞可导致攻击者完全接管 Oracle Unified Directory。该漏洞的 CVSS 3.1 基础评分为 10.0（影响机密性、完整性和可用性）。

影响范围

  • 受影响产品：Oracle Fusion Middleware 中的 Oracle Unified Directory 组件（OUD Core）
  • 受影响版本：
    • 12.2.1.4.0
    • 14.1.2.1.0
  • 攻击向量：网络攻击（通过 LDAP 协议）
  • 攻击条件：无需身份验证，无需用户交互，攻击复杂度低

风险分析

该漏洞属于 远程未授权代码执行或系统接管 类漏洞，具有极高的严重性（CVSS 10.0）。主要风险包括：

  1. 完全接管：攻击者成功利用后，可以完全控制 Oracle Unified Directory 服务器，包括读取、修改或删除所有目录数据。
  2. 横向移动：由于存在范围变化（scope change），攻击可能进一步影响与 Oracle Unified Directory 相关联的其他 Oracle 产品或第三方系统，扩大攻击面。
  3. 数据泄露：目录服务通常存储用户身份信息、证书、权限配置等敏感数据，一旦被攻破，可能导致大规模数据泄露。
  4. 服务中断：攻击者可能破坏目录服务的可用性，导致依赖该目录的应用系统（如单点登录、认证服务）无法正常运行。

建议受影响版本的用户立即参考 Oracle 官方安全公告（cpujul2026）中的修复补丁进行升级，并在未修复前限制对 LDAP 端口的网络访问。

🔍 技术细节

字段 值
CVE ID CVE-2026-60360
CVSS 评分 10.0 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接