Oracle Cost Management: Unzureichende Zugriffskontrolle in Cost Planning
Zusammenfassung
Oracle Cost Management, ein Modul von Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.15, enthält eine unzureichende Zugriffskontrolle (CWE-284) in der Komponente Cost Planning. Ein Angreifer mit Netzwerkzugriff via HTTP und einem Konto mit niedrigen Berechtigungen kann Oracle Cost Management übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion erforderlich. CVSS-3.1-Basiswert: 8.8.
Betroffen
- Oracle Cost Management (Oracle E-Business Suite), Komponente Cost Planning
- Versionen 12.2.3 bis 12.2.15
Behoben in
- Unbekannt. Die Nummer des Fix-Patches konnte nicht verifiziert werden. Siehe das Advisory des Oracle Critical Patch Update vom Oktober 2026 und die My-Oracle-Support-Notiz KA923.
Umgehung
- Keine Workaround-Massnahme des Herstellers gefunden.
- Übergangsweise: HTTP-Zugriff auf Oracle E-Business Suite auf das interne Netzwerk oder VPN beschränken.
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung für diese CVE bekannt. Kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
- CISA-SSVC-Einschätzung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Eine Quelle gibt an, Oracle nenne für die hochkritischen Schwachstellen im Oktober keine Ausnutzung; unklar ist, ob dies auch diese CVE umfasst.
Unsere Empfehlung
- Prüfen, ob Oracle Cost Management lizenziert und im Einsatz ist.
- Sobald die Patch-Nummer bestätigt ist, den Oracle-CPU-Fix vom Oktober 2026 für E-Business Suite einspielen, zusammen mit den Patches für Datenbank und Fusion Middleware, von denen E-Business Suite abhängt.
- Bis zum Patch den HTTP-Zugriff auf E-Business Suite einschränken und Konten prüfen, die Selbstregistrierung oder schwache Kontokontrollen erlauben.
- Web- und Applikationslogs von E-Business Suite auf ungewöhnliche Zugriffe überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Vulners CVE record CVE-2026-101567 vulners.com
- Strix CVE-2026-101567 (third-party aggregator) www.strix.ai
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
- SecurityOnline: Oracle Critical Patch Update October 2026 securityonline.info
- Cybersecurity News: Massive Oracle security update cybersecuritynews.com
- Oracle EBS Java CPU checker October 2026 (separate tool, not a fix) blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.