Oracle Solaris: Unauthentifizierte Fernübernahme über TCP in Utility-Komponente
Zusammenfassung
Oracle Solaris 11.4 enthält eine kritische Schwachstelle in der Komponente Utility, die remote über TCP ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden kann. Gemäss CNA-Eintrag kann ein erfolgreicher Angriff zu einer vollständigen Übernahme des Systems mit Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen. Die Quellen nennen den betroffenen TCP-Dienst nicht, daher hängt die Exposition davon ab, welche Solaris-Dienste aus nicht vertrauenswürdigen Netzen erreichbar sind.
Betroffen
- Oracle Solaris 11.4 (gemäss CNA-Eintrag; NVD-Analyse ausstehend)
- Der Status von 11.3 für diese CVE ist im Oracle-Advisory nicht verifiziert
Behoben in
- Solaris 11.4 SRU96 CPU (veröffentlicht am 20. Okt. 2026) ist das neueste Critical Patch Update vom Oktober 2026, die Behebung dieser CVE ist jedoch nicht bestätigt
- Eintrag für Solaris im Oracle-Advisory zum CPU vom Oktober 2026 und das SRU96-README auf den CVE-spezifischen Behebungsstatus prüfen
Umgehung
- Unbekannt. Keine herstellerseitig dokumentierte Massnahme gefunden.
- Übergangsmassnahme: TCP-Zugriff auf Solaris-11.4-Hosts bis zur Installation des CPU auf vertrauenswürdige Netze beschränken (allgemeine Härtung, keine Herstellermassnahme)
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; die Suche ist nicht abschliessend.
- Gemäss Strix-Seite nicht im CISA KEV; der KEV-Katalog wurde nicht direkt geprüft.
- EPSS 0.0042 zum Zeitpunkt der Erfassung.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Alle Oracle-Solaris-11.4-Hosts und deren erreichbare TCP-Dienste erfassen.
- Im Oracle-Advisory zum CPU vom Oktober 2026 bestätigen, dass SRU96 diese CVE abdeckt, und danach einspielen.
- Netzwerkzugriff auf betroffene Dienste an Internet- oder Partner-Schnittstellen bis zum Patch einschränken.
- Solaris-Hosts auf ungewöhnliche TCP-Verbindungen überwachen und NVD, das Oracle-Advisory und CISA KEV auf Updates prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Oracle Solaris 11.4 SRU96 CPU announcement blogs.oracle.com
- Oracle Security Alerts www.oracle.com
- Vulners CVE record CVE-2026-101537 vulners.com
- Strix CVE-2026-101537 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.