Oracle Helidon: Fehlende Authentifizierung in MicroProfile Security
Zusammenfassung
Oracle Helidon, ein Java-Framework, weist in seinem Modul helidon-microprofile-security in den Versionen 4.0.0 bis 4.5.5 eine Schwachstelle auf. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann kritische Daten erstellen, ändern oder löschen sowie auf Daten zugreifen, die über Helidon erreichbar sind. Es sind keine Zugangsdaten erforderlich, der CVSS-Basiswert liegt bei 9.1 (Critical). Das Modul ist meist in eigenen oder Drittanbieter-Java-Anwendungen eingebettet und nicht als eigenständiges Produkt installiert.
Betroffen
- Oracle Helidon, Modul MicroProfile Security (helidon-microprofile-security)
- Unterstützte Versionen 4.0.0 bis 4.5.5 (gemäss CVE-Eintrag)
- Pakete, die das Modul einbetten, z. B. io.helidon.microprofile.bundles:helidon-microprofile 4.0.0 bis 4.5.5
Behoben in
- Korrigierte Version: Unbekannt. Die Updates aus dem Critical Patch Update von Oracle vom Oktober 2026 anwenden und die korrigierte Version im Advisory von Oracle bestätigen.
Umgehung
Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Unbekannt. In den Quellen wird keine bekannte Ausnutzung gemeldet.
- Öffentlicher Proof of Concept: Keiner gefunden; nicht bestätigt, dass keiner existiert.
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Java-Anwendungen und Abhängigkeitsbäume auf helidon-microprofile-security oder Helidon-Bundles prüfen (z. B. mit mvn dependency:tree oder einer SBOM).
- Die korrigierte Version im Advisory von Oracle vom Oktober 2026 bestätigen und betroffene Anwendungen patchen.
- Internetzugriff auf betroffene Dienste bis zum Patch einschränken oder entfernen.
- Auf Anzeichen einer Ausnutzung überwachen, da die CVE neu veröffentlicht wurde und sich ihr Status ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- NVD record via Vulners: CVE-2026-101590 vulners.com
- CVELIST record via Vulners: CVE-2026-101590 vulners.com
- Oracle October 2026 CPU via Vulners vulners.com
- Strix: CVE-2026-101590 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:50.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.