Oracle Enterprise Manager Base Platform: Lokale Rechteausweitung bis zur Übernahme
Zusammenfassung
Die Oracle Enterprise Manager Base Platform in den Versionen 13.5 und 24.1 ist von einer Schwachstelle in der Komponente Enterprise Manager Install betroffen. Ein Benutzer mit niedrigen Rechten und Anmeldung auf dem Host der Enterprise-Manager-Infrastruktur kann das Produkt kompromittieren. Ein erfolgreicher Angriff kann zur Übernahme von Enterprise Manager führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, wodurch auch die verwalteten Systeme gefährdet sein könnten.
Betroffen
- Oracle Enterprise Manager Base Platform 13.5
- Oracle Enterprise Manager Base Platform 24.1
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026. Die Patch-IDs für 13.5 und 24.1 sind im Abschnitt zur Patch-Verfügbarkeit des Advisories aufgeführt; bitte dort prüfen.
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Während des Patchens: lokale Anmeldung auf dem Enterprise-Manager-Host auf Administratoren beschränken und Konten mit Anmelderechten prüfen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; in den geprüften Quellen nicht im CISA KEV gelistet.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS in einem Snapshot eines Drittanbieters: 0.00151 (niedrig), bei FIRST.org zu verifizieren.
Unsere Empfehlung
- Den Oracle CPU-Patch vom Oktober 2026 für Enterprise Manager Base Platform 13.5 und 24.1 im regulären Patch-Fenster einspielen.
- Andere höher bewertete Enterprise-Manager-Schwachstellen im selben CPU zuerst priorisieren.
- Lokale Anmeldung auf dem Enterprise-Manager-Host einschränken und Konten mit Anmelderechten prüfen.
- Vor dem Schliessen des Tickets den CISA-KEV-Status und die NVD-Analyse prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 advisory www.oracle.com
- Oracle Security blog: October 2026 CPU released blogs.oracle.com
- CVE record aggregator (vulners) vulners.com
- CVE description and metrics (Strix) www.strix.ai
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.