Oracle Siebel Life Sciences: Schwachstelle im Web UI ermöglicht Datenkompromittierung

Zusammenfassung

Oracle Siebel Life Sciences, Teil von Oracle Siebel CRM, enthält eine Schwachstelle in der Komponente Web UI, die über HTTP erreichbar ist. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff kann, wenn eine andere Person interagiert, kritische Daten erstellen, ändern oder löschen und Zugriff auf alle Daten erhalten, die für Siebel Life Sciences zugänglich sind. Die CNA bewertet die Schwachstelle mit CVSS 3.1 8.7 (Hoch); betroffen sind Vertraulichkeit und Integrität, nicht die Verfügbarkeit. Es wurde kein öffentlicher Exploit und kein Hinweis auf eine aktive Ausnutzung gefunden.

Betroffen

• Oracle Siebel Life Sciences, Versionen 17.0 bis 26.9 (CNA-Eintrag)
• Abweichung: Ein Tenable-Plugin nennt Siebel Server <= 26.8; genaue Builds bei Oracle verifizieren

Behoben in

Unbekannt. Im Oracle-Sicherheitshinweis zum Oktober-2026-CPU (Rev 2 oder neuer) die Patch-Nummern prüfen.

Umgehung

Unbekannt. Es wurde keine Herstellermassnahme gefunden; Oracle-Sicherheitshinweis prüfen.

Ausnutzung

• Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden; CISA-KEV nicht direkt geprüft
• Kein öffentlicher Proof-of-Concept gefunden
• EPSS 0.00324 (niedrig)
• VulDB gibt CVSS 5.5 und CWE-269 an; hier wird der CNA-Wert 8.7 verwendet

Unsere Empfehlung

• Prüfen, ob Siebel Life Sciences in Ihrer Umgebung oder bei Kunden bzw. Partnern eingesetzt wird; falls nicht, ist keine Massnahme nötig.
• Falls im Einsatz, den Oracle-Patch des Oktober-2026-CPU zusammen mit CVE-2026-101457 einspielen.
• Zugriff auf die Siebel-Weboberfläche auf bekannte Netzwerke beschränken und prüfen, ob sie aus dem Internet erreichbar ist.
• Konten mit niedrigen Berechtigungen überprüfen und auf ungewöhnliche Datenänderungen achten.
• NVD und CISA-KEV auf Statusänderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory October 2026 www.oracle.com
• CVE-2026-101451 at vulners (CVE record copy) vulners.com
• CVE-2026-101451 at Strix (CVSS 3.1 vector) www.strix.ai
• VulDB entry 423153 vuldb.com
• Brandefense: Oracle October 2026 CPU brandefense.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:21.