Oracle Enterprise Manager for Siebel: Übernahme über HTTP (Configuration Management)
Zusammenfassung
Oracle Enterprise Manager for Siebel in den Versionen 13.5 und 24.1 enthält eine Schwachstelle in der Komponente Configuration Management. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt kompromittieren, und erfolgreiche Angriffe können zu einer vollständigen Übernahme des Produkts mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen. Ausser einem gültigen Konto mit niedrigen Berechtigungen ist keine Authentifizierung nötig; Oracle stuft die Schwachstelle mit CVSS 3.1 8.8 (Hoch) ein.
Betroffen
- Oracle Enterprise Manager for Siebel 13.5
- Oracle Enterprise Manager for Siebel 24.1
Behoben in
Unbekannt. Prüfen Sie den Abschnitt zur Verfügbarkeit von Patches im Oracle Critical Patch Update vom Oktober 2026 auf den Patch für 13.5 und 24.1.
Umgehung
- Keine vom Hersteller genannt.
- Bis zum Patchen den HTTP-Zugriff auf die Verwaltungsschnittstelle auf administrative Netzwerke beschränken.
- Konten mit niedrigen Berechtigungen überprüfen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- EPSS 0.00479 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen Sie, ob Siebel CRM und Enterprise Manager for Siebel eingesetzt werden und in welcher Version.
- Falls betroffen, spielen Sie den Patch für 13.5 oder 24.1 aus dem Oracle-Advisory vom Oktober 2026 ein, zuerst auf einem Testsystem.
- Bis zum Patchen den Zugriff auf die Verwaltungsschnittstelle beschränken und deren Konten überprüfen.
- Die Verwaltungskonsole nicht aus dem Internet erreichbar machen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- NVD record via Vulners vulners.com
- CVE List record via Vulners vulners.com
- Strix CVE summary www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.