Oracle Enterprise Manager Base Platform: Übernahme über HTTP in Agent Next Gen
Zusammenfassung
Die Oracle Enterprise Manager Base Platform in den Versionen 13.5 und 24.1 ist von einer Schwachstelle in der Komponente Agent Next Gen betroffen. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff via HTTP kann sie mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen. Eine erfolgreiche Ausnutzung kann zur Übernahme des Produkts führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Oracle Enterprise Manager Base Platform 13.5 (Komponente Agent Next Gen)
- Oracle Enterprise Manager Base Platform 24.1 (Komponente Agent Next Gen)
Exakte Patch-Stände: Unbekannt.
Behoben in
Unbekannt. Die Behebung erfolgt voraussichtlich über das Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026). Die Patch-Zeile für diese CVE wurde nicht verifiziert.
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- HTTPS-Zugriff auf die Agent-Next-Gen-Schnittstelle mit Firewall-Regeln und Netzwerksegmentierung einschränken (generische Empfehlung, für diese CVE nicht verifiziert).
- Zugriff auf vertrauenswürdige OMS-Hosts beschränken.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof-of-Concept gefunden.
- EPSS 0.0048 (ca. 0.48 %), Datum des Scores nicht angegeben.
Unsere Empfehlung
- Den Patch für CVE-2026-101518 im Critical Patch Update vom Oktober 2026 prüfen und auf allen Enterprise-Manager-Installationen 13.5 und 24.1 einspielen.
- Bis zur Behebung den Netzwerkzugriff auf den HTTP-Endpunkt von Agent Next Gen auf vertrauenswürdige OMS-Hosts beschränken.
- Konten mit niedrigen Berechtigungen überprüfen und nicht benötigte Zugriffe entfernen.
- Prüfen, ob der Endpunkt aus nicht vertrauenswürdigen Netzen erreichbar ist, und HTTP-Verkehr auf Auffälligkeiten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- Strix: CVE-2026-101518 www.strix.ai
- NVD mirror on Vulners: CVE-2026-101518 vulners.com
- Oracle CPU October 2026 on Vulners vulners.com
- SentinelOne: CVE-2026-46994 (same component, third party) www.sentinelone.com
- SentinelOne: CVE-2026-46986 (same component, third party) www.sentinelone.com
- CVE Program cvelistV5 releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.