Oracle Purchasing: Unzureichende Zugriffskontrolle ermöglicht Übernahme
Zusammenfassung
Oracle Purchasing, das Beschaffungsmodul von Oracle E-Business Suite, enthält eine unzureichende Zugriffskontrolle (CWE-284) in der Komponente Internal Operations. Gemäss CNA-Eintrag kann ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP das Modul übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion erforderlich. Der CVSS-Wert 8.8 stammt von der CNA; VulDB bewertet die Lücke mit 6.3, und die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.
Betroffen
- Oracle Purchasing in Oracle E-Business Suite, unterstützte Versionen 12.2.3 bis 12.2.15 (CNA-Eintrag)
Behoben in
- Unbekannt. Der produktspezifische Patch und die korrigierte Version wurden nicht bestätigt.
- Referenzierte Korrektur: Oracle Critical Patch Update Oktober 2026 (https://www.oracle.com/security-alerts/cpuoct2026.html)
Umgehung
- Unbekannt. Es wurde keine CVE-spezifische Massnahme gefunden.
- Bis zur Korrektur den HTTP-Zugriff auf E-Business Suite einschränken und die Protokolle überwachen.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; Oracle hat die Lücke nicht als ausgenutzt gemeldet.
- Kein öffentlicher Proof of Concept gefunden.
- Die verwandte Lücke CVE-2026-101767 in E-Business Suite wird gescannt und ausgenutzt; sie ist eine eigene Patch-Priorität.
Unsere Empfehlung
- Das Oracle CPU vom Oktober 2026 auf E-Business Suite 12.2.3 bis 12.2.15 prioritär einspielen.
- Prüfen, ob E-Business Suite aus dem Internet erreichbar ist, und den HTTP-Zugriff einschränken.
- Konten mit niedrigen Berechtigungen überprüfen, einschliesslich Lieferanten- und Mitarbeiterkonten.
- Protokolle von E-Business Suite auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
- CVE-2026-101557 record (Strix) www.strix.ai
- CVE-2026-101557 CNA JSON (Vulners) vulners.com
- CVE-2026-101557 VulDB entry vuldb.com
- Hackers scanning for recently patched Oracle flaw (BleepingComputer) www.bleepingcomputer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.