Oracle Enterprise Manager for Siebel: Rechteausweitung bis zur Übernahme über HTTP

Zusammenfassung

Oracle Enterprise Manager for Siebel in den Versionen 13.5 und 24.1 enthält eine Schwachstelle in der Komponente Configuration Management. Ein Angreifer mit Netzwerkzugriff via HTTP und einem Konto mit niedrigen Privilegien kann das Produkt kompromittieren, mit möglicher vollständiger Übernahme. Es ist keine Benutzerinteraktion nötig, und der CVSS-Basiswert beträgt 8.8 (hoch). Für die Ausnutzung ist ein gültiges Konto mit niedrigen Privilegien erforderlich, was das Risiko durch anonyme Angreifer senkt, nicht aber durch Insider oder gestohlene Zugangsdaten.

Betroffen

• Oracle Enterprise Manager for Siebel 13.5
• Oracle Enterprise Manager for Siebel 24.1

Behoben in

• Behoben im Critical Patch Update vom Oktober 2026 (neueste Revision). Die Patch-IDs für 13.5 und 24.1 sind im Oracle-Advisory aufgeführt: https://www.oracle.com/security-alerts/cpuoct2026.html

Umgehung

• Unbekannt. Der Hersteller hat keinen Workaround veröffentlicht.
• Generische Übergangsmassnahme (nicht vom Hersteller): HTTP-Zugriff auf die Management-Schnittstelle auf ein Admin-Netz oder VPN beschränken.

Ausnutzung

• Ausnutzung in freier Wildbahn: in den verfügbaren Quellen nichts bekannt. CISA-KEV-Status nicht geprüft.
• Öffentlicher Proof of Concept: in den Recherchen keiner gefunden.
• EPSS: 0.00479 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
• NVD-Status: Awaiting Analysis.

Unsere Empfehlung

• Prüfen, ob Oracle Enterprise Manager for Siebel 13.5 oder 24.1 installiert ist. Falls nicht, ist keine Massnahme nötig.
• Falls installiert, das Critical Patch Update vom Oktober 2026 (neueste Revision) für die passende Version einspielen.
• Bis zum Patch den HTTP-Zugriff auf die Management-Schnittstelle einschränken, Konten mit niedrigen Privilegien prüfen und Logs überwachen.
• NVD und CISA KEV erneut prüfen, da der Eintrag noch in Analyse ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• Oracle Security Alerts index www.oracle.com
• Vulners CVE record (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:28.