Oracle Siebel CRM Deployment: Unauthentifizierter Datenzugriff und -änderung über HTTP
Zusammenfassung
Eine Schwachstelle in der Komponente Server Infrastructure von Oracle Siebel CRM Deployment, Versionen 17.0 bis 26.9, kann von einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP ausgenutzt werden. Ein erfolgreicher Angriff kann unberechtigten Lesezugriff auf kritische Daten einschliesslich aller für die Anwendung zugänglichen Daten sowie unberechtigtes Ändern, Einfügen oder Löschen einzelner Daten ermöglichen. Gemäss CNA ist die Verfügbarkeit nicht betroffen, und bisher wurden weder Ausnutzung noch öffentlicher Proof of Concept gefunden.
Betroffen
- Oracle Siebel CRM Deployment, Komponente Server Infrastructure, Versionen 17.0 bis 26.9 (gemäss CNA-Eintrag)
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026. Genaue Patch-Kennung und behobener Build: Unbekannt. Prüfen Sie das Advisory von Oracle auf den Patch für Ihre Release-Linie.
Umgehung
- Kein vom Hersteller bestätigter Workaround. Unbekannt.
- Bis zum Patch den HTTP-Zugriff auf die Siebel-Umgebung mittels Firewall-Regeln oder Netzwerksegmentierung auf vertrauenswürdige Administrationsnetze beschränken.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Status im CISA-KEV-Katalog nicht geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00339 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen Sie, ob Siebel CRM Deployment 17.0 bis 26.9 installiert ist. Falls nicht, ist keine Massnahme nötig.
- Entfernen Sie umgehend jede direkte Internetexposition des Siebel-HTTP-Dienstes.
- Spielen Sie den Oracle-Patch vom Oktober 2026 für Ihre Release-Linie ein, nachdem Sie den korrekten Patch im Advisory von Oracle bestätigt haben.
- Prüfen Sie Web- und Anwendungslogs auf ungewöhnliche Lese- oder Schreibzugriffe, da für den Zugriff auf den Dienst keine Anmeldung nötig ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- CVE record via Vulners (CNA data) vulners.com
- Strix CVE summary www.strix.ai
- Vulners PT-2026-119146 (Oracle CPU reference) vulners.com
- Vulners CNNVD-2026-71175463 (EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.