Oracle Mobile Field Service: Unzureichende Zugriffskontrolle
Zusammenfassung
Das Modul Oracle Mobile Field Service von Oracle E-Business Suite (Komponente Internal Operations) enthält eine Schwachstelle in der Zugriffskontrolle (CWE-284). Ein Angreifer mit einem Konto mit niedrigen Privilegien und Netzwerkzugriff über HTTP kann laut CVSS-Vektor das Modul mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit übernehmen. Es ist keine Benutzerinteraktion nötig, und der NVD-Eintrag ist noch in Analyse.
Betroffen
- Oracle Mobile Field Service in Oracle E-Business Suite, Versionen 12.2.3 bis 12.2.15
Behoben in
Unbekannt. Für den Patch dienen das Oracle Critical Patch Update vom Oktober 2026 und der MOS-Artikel KA1818 als Referenz; ein My-Oracle-Support-Login ist erforderlich.
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Zwischenlösung gefunden.
- Bis zum Patch den HTTP-Zugriff auf die Mobile-Field-Service-Seiten einschränken
- Konten mit niedrigen Privilegien auf dem Modul reduzieren und prüfen
Ausnutzung
Unbekannt. In den geprüften Quellen ist keine Ausnutzung gemeldet. CISA SSVC bewertet die Ausnutzung als keine. Kein öffentlicher Proof of Concept gefunden; die Suche war begrenzt.
Unsere Empfehlung
- Prüfen, ob der Kunde EBS 12.2 im betroffenen Bereich mit Mobile Field Service betreibt
- Den Patch aus dem Oracle-CPU-Advisory vom Oktober 2026 und aus KA1818 einspielen; bei Erreichbarkeit aus dem Internet priorisieren
- Konten mit niedrigen Privilegien prüfen und den HTTP-Zugriff bis zum Patch einschränken
- Zugriffsprotokolle des Moduls überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle October 2026 CPU advisory www.oracle.com
- CVE/CNA data (Vulners) vulners.com
- Strix CVE summary www.strix.ai
- Oracle EBS CPU blog blogs.oracle.com
- Brandefense CPU analysis brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.