Oracle PeopleSoft Enterprise PeopleTools: Unzureichende Zugriffskontrolle in SQR-Komponente
Zusammenfassung
Eine Schwachstelle in der SQR-Komponente von Oracle PeopleSoft Enterprise PeopleTools der Versionen 8.61 bis 8.63 erlaubt einem authentisierten Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP, das Produkt zu kompromittieren. Da sich der Scope ändert, kann sich die Auswirkung auf weitere Produkte erstrecken; ein Angreifer könnte kritische Daten erstellen, ändern oder löschen sowie auf alle von PeopleTools zugänglichen Daten zugreifen. Oracle stuft die Schwachstelle mit CVSS 9.6 (Critical) ein; eine Ausnutzung ist nicht bestätigt.
Betroffen
- Oracle PeopleSoft Enterprise PeopleTools 8.61 bis 8.63 (SQR-Komponente)
Behoben in
- Unbekannt. Die Patch-Tabellen im Oracle Critical Patch Update vom Oktober 2026 prüfen.
Umgehung
- Keine offizielle Workaround-Massnahme gefunden.
- Bis ein Patch bestätigt ist, den HTTP-Zugriff auf PeopleSoft- und PIA-Endpunkte auf interne Netze oder VPN beschränken.
- Konten mit niedrigen Berechtigungen überprüfen und einschränken sowie Protokollierung auf diesen Endpunkten aktivieren.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn, öffentlichen Proof of Concept oder Eintrag im CISA-KEV-Katalog gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.00375 (Modellschätzung).
Unsere Empfehlung
- Betroffene PeopleTools-Versionen bestätigen und den Patch aus dem Oracle CPU vom Oktober 2026 sobald verfügbar über My Oracle Support einspielen.
- Prüfen, ob eine PeopleSoft-Instanz aus dem Internet erreichbar ist, und den Zugriff einschränken, falls nicht nötig.
- Konten mit niedrigen Berechtigungen überprüfen und Protokolle auf ungewöhnliche Aktivitäten überwachen.
- Ausnutzungsstatus vor der Festlegung der Dringlichkeit erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert – October 2026 CPU www.oracle.com
- CVE-2026-101420 (Vulners CVE list) vulners.com
- NVD:CVE-2026-101420 (Vulners) vulners.com
- Positive Technologies PT-2026-119108 (Vulners) vulners.com
- PeopleTools (Wikipedia) en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.