Oracle Application Testing Suite: Nicht näher bezeichnete Schwachstelle in OpenScript
Zusammenfassung
Oracle Application Testing Suite in Version 13.3.0.1, insbesondere die Komponente OpenScript, ist von einer Schwachstelle betroffen, die Oracle mit CVSS 7.8 (hoch) bewertet. Ein Angreifer mit niedrigen Berechtigungen und einer Anmeldung auf dem Host, auf dem die Suite läuft, kann die Anwendung kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff ist lokal und erfordert keine Benutzerinteraktion; der Schwachstellentyp ist in den verfügbaren Daten nicht angegeben, und der NVD-Eintrag war zum Zeitpunkt der Erfassung noch in Analyse.
Betroffen
- Oracle Application Testing Suite 13.3.0.1 (Komponente OpenScript)
- Vektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Behoben in
Unbekannt. Das Critical Patch Update von Oracle vom Oktober 2026 enthält Sicherheitspatches für Oracle Application Testing Suite. Die korrigierte Build-Nummer war in den Quellen nicht auffindbar; das Patch Availability Document auf My Oracle Support prüfen.
Umgehung
Kein Workaround des Herstellers gefunden.
- Bis zum Patch interaktive Anmeldungen auf OATS-Hosts auf namentlich bekannte Administratoren beschränken.
- Nicht benötigte Konten entfernen und OATS-Hosts nicht mit nicht vertrauenswürdigen Benutzern teilen.
- OATS-Hosts nicht aus dem Internet erreichbar machen.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn.
- Ein Drittanbieter-Aggregator führt sie als nicht in CISA KEV; dies wurde nicht am KEV-Katalog verifiziert.
- In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Oracle Application Testing Suite 13.3.0.1 installiert ist, einschliesslich OpenScript.
- Den Patch aus dem Critical Patch Update vom Oktober 2026 über My Oracle Support anhand des Patch Availability Document beziehen.
- Den Patch zuerst auf einer Nicht-Produktionsinstanz testen und danach einspielen.
- Konten mit Anmeldeberechtigung auf OATS-Hosts überprüfen.
- Vor dem Schliessen des Tickets CISA KEV und Herstellerquellen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle October 2026 Critical Patch Update Advisory www.oracle.com
- Oracle October 2026 CPU Verbose Advisory www.oracle.com
- Oracle September 2026 CPU Advisory (Patch Availability Document reference) www.oracle.com
- VulDB entry for CVE-2026-101549 vuldb.com
- Vulners NVD mirror entry for CVE-2026-101549 vulners.com
- SecurityWeek: Oracle patches over 1,200 vulnerabilities with October 2026 CPU www.securityweek.com
- Tenable: Oracle October 2026 Critical Patch Update www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.