Oracle EDI Gateway: Unberechtigter Datenzugriff und Datenänderung in E-Business Suite
Zusammenfassung
Oracle EDI Gateway, das EDI-Modul von Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.15, enthält eine über HTTP erreichbare Schwachstelle. Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff kann kritische Daten unberechtigt lesen und einige Daten ändern, einfügen oder löschen; Angriffe können zudem weitere Produkte beeinflussen (Scope Change). Es sind keine Ausnutzung und kein öffentlicher Proof of Concept bekannt.
Betroffen
- Oracle E-Business Suite 12.2.3 bis 12.2.15, Komponente EDI Gateway (EDI)
Behoben in
- Die Korrektur ist im Oracle Critical Patch Update vom Oktober 2026 enthalten (veröffentlicht am 20. Oktober 2026).
- Patch-Level-Versionen: Unbekannt.
- Eine Drittquelle verweist auf die My Oracle Support Note KA923; auf My Oracle Support prüfen.
Umgehung
- Unbekannt. Es ist kein Workaround dokumentiert.
- Übergangsmassnahme: HTTP-Zugriff auf die EBS- und EDI-Gateway-Endpunkte auf vertrauenswürdige Netze beschränken.
Ausnutzung
- Keine bekannte Ausnutzung, kein KEV-Eintrag und kein öffentlicher Proof of Concept.
- EPSS 0.0023 (niedrig).
- Nicht mit CVE-2026-101767 verwechseln, einer separaten SQL-Injection in Application Object Library, die aktuell gescannt wird.
Unsere Empfehlung
- Prüfen, ob EDI Gateway installiert ist und welche 12.2.x-Version läuft.
- Das Critical Patch Update vom Oktober 2026 über den EBS-Patchprozess einspielen und die Patch-Liste auf My Oracle Support prüfen.
- HTTP-Zugriff auf EBS beschränken und Konten mit niedrigen Rechten prüfen.
- Patchen priorisieren, falls EBS aus dem Internet erreichbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
- GitHub Advisory GHSA-x243-pcq8-q4mr github.com
- Vulners CVE record CVE-2026-101534 vulners.com
- Strix CVE record CVE-2026-101534 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.