Oracle E-Business Suite Capacity: Remote-Übernahme über HTTP
Zusammenfassung
Oracle Capacity, ein Modul von Oracle E-Business Suite (EBS), enthält eine Schwachstelle in der Komponente Internal Operations. Ein Angreifer mit Netzwerkzugriff über HTTP und einem gültigen Konto mit niedrigen Rechten kann das Modul kompromittieren, wobei eine Übernahme von Oracle Capacity möglich ist. Oracle stuft das Problem mit CVSS 8.8 (hoch) ein, und es ist im Critical Patch Update vom Oktober 2026 behoben.
Betroffen
- Oracle E-Business Suite, Modul Oracle Capacity, Versionen 12.2.3 bis 12.2.15
- Komponente: Internal Operations
- Der Angriff erfordert ein Konto mit niedrigen Rechten (PR:L)
Behoben in
- Behoben im Critical Patch Update von Oracle vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Spezifische Patch-Nummer für Oracle Capacity: Unbekannt. Oracle-Risikomatrix und EBS-Patch-Dokumentation (My Oracle Support KA923, KA1818) prüfen
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert; das Einspielen des Patches ist die dokumentierte Behebung.
- HTTP-Zugriff auf EBS auf benötigte Benutzer beschränken.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine bestätigte Ausnutzung in freier Wildbahn bekannt. Status im CISA-KEV-Katalog nicht geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS-Wert niedrig (0.00352).
Unsere Empfehlung
- Prüfen, ob eine EBS-Umgebung das Modul Capacity in den Versionen 12.2.3 bis 12.2.15 betreibt.
- Falls betroffen, das Critical Patch Update vom Oktober 2026 gemäss Oracle-Advisory und KA923 einspielen; netzwerkseitig erreichbare EBS-Systeme priorisieren.
- HTTP-Zugriff auf EBS auf benötigte Benutzer beschränken und Konten mit niedrigen Rechten überprüfen.
- Auffälligkeiten im Modul Capacity überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- CVE.org CNA record via Vulners vulners.com
- Strix.ai CVE-2026-101542 www.strix.ai
- Oracle CPU October 2026 overview (Arxdome) arxdome.com
- Oracle EBS CPU checker (Nerds Magazine) nerdsmagazine.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.