Oracle E-Business Suite Marketing: Unzureichende Zugriffskontrolle in Audience-Komponente

Zusammenfassung

Oracle Marketing, ein Modul von Oracle E-Business Suite, enthält eine Schwachstelle in der Zugriffskontrolle (CWE-284) in der Audience-Komponente. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann sie ohne Benutzerinteraktion ausnutzen und sich Zugriff auf Oracle-Marketing-Daten verschaffen, mit hoher Auswirkung auf die Vertraulichkeit und eingeschränkter Möglichkeit, einige Daten zu ändern, einzufügen oder zu löschen. Relevant sind nur Installationen mit dem Marketing-Modul und erreichbarer Web-Schicht.

Betroffen

• Oracle Marketing (Audience-Komponente) in Oracle E-Business Suite, unterstützte Versionen 12.2.3 bis 12.2.15

Behoben in

• Patch im Oracle Critical Patch Update Advisory - Oktober 2026. Genaue Patch-Nummer: Unbekannt.
• Die erforderlichen Oracle-Database- und Fusion-Middleware-Patches zusammen mit dem EBS-Patch einspielen.

Umgehung

• Kein herstellerspezifischer Workaround bekannt. Unbekannt.
• Zugriff auf die EBS-Web-Schicht bis zum Abschluss des Patchens auf vertrauenswürdige Netzwerke beschränken.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn für diese CVE. Öffentlicher Proof of Concept: keiner gefunden.
• Es wurden Beobachtungen von Köder-Systemen (Decoys) mit explorativen Angriffsversuchen gegen eine andere EBS-Schwachstelle (CVE-2026-101767) gemeldet; diese sind kein Beleg für erfolgreiche Angriffe auf Kunden.

Unsere Empfehlung

• Prüfen, ob Oracle Marketing installiert ist und welche EBS-Version läuft.
• Falls installiert, den Oktober-2026-CPU-Patch für CVE-2026-101640 zusammen mit den erforderlichen Datenbank- und Middleware-Patches einspielen.
• Bis zum Patch den Zugriff auf die EBS-Web-Schicht auf vertrauenswürdige Netzwerke beschränken.
• CVE-2026-101639 im gleichen Zyklus ebenfalls patchen.
• Oracle-Advisory und NVD auf Updates überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• Strix: CVE-2026-101640 www.strix.ai
• Vulners NVD record CVE-2026-101640 vulners.com
• Vulners CVE list record CVE-2026-101640 vulners.com
• Strix: CVE-2026-101639 www.strix.ai
• Cloudlinktech: Attackers probe newly patched Oracle EBS vulnerability www.cloudlinktech.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:32.