Oracle E-Business Suite Partner Management: Unautorisierter Datenzugriff und Datenänderung
Zusammenfassung
Eine Schwachstelle im Modul Partner Management von Oracle E-Business Suite 12.2.3 bis 12.2.15 erlaubt einem authentisierten Angreifer mit niedrigen Berechtigungen, über HTTP kritische Daten zu lesen, zu ändern oder zu löschen. Der Angreifer kann zudem einen partiellen Denial of Service auslösen, und die Auswirkungen können über das Modul hinausreichen (Scope Change). Die Ausnutzung ist schwierig (hohe Angriffskomplexität) und setzt ein gültiges Benutzerkonto voraus.
Betroffen
- Oracle E-Business Suite, Partner Management (Komponente: Internal Operations)
- Unterstützte Versionen 12.2.3 bis 12.2.15
Behoben in
- Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Spezifische Patch-ID für Partner Management: Unbekannt. Auf My Oracle Support prüfen.
Umgehung
- Unbekannt. In den Quellen wurde kein Workaround gefunden.
- Übergangsmassnahme (eigene Analyse, nicht aus einer Quelle): Modul Partner Management deaktivieren oder einschränken, falls es nicht genutzt wird.
Ausnutzung
- Keine Berichte über eine Ausnutzung oder einen öffentlichen Proof-of-Concept für diese CVE gefunden.
- Oracle-SSVC-Bewertung: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
- Eine andere EBS-Schwachstelle (CVE-2026-101767) aus demselben Patch-Zyklus wird aktiv gescannt.
Unsere Empfehlung
- Prüfen, ob Oracle Partner Management lizenziert und im Einsatz ist.
- Das Critical Patch Update vom Oktober 2026 im regulären EBS-Patch-Zyklus einspielen und den Patch-Stand auf My Oracle Support verifizieren.
- Falls das Modul genutzt wird und der EBS-Webbereich aus dem Internet erreichbar ist, den Patch priorisieren.
- Netzwerkzugriff auf den EBS-Webbereich einschränken und Konten mit niedrigen Berechtigungen überprüfen.
- EBS-Logs auf ungewöhnliche Zugriffe auf Partner Management überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle October 2026 CPU www.oracle.com
- NVD mirror (Vulners) vulners.com
- Strix CVE record www.strix.ai
- Positive Technologies PT-2026-119328 vulners.com
- SecurityWeek: probing of CVE-2026-101767 www.securityweek.com
- Oracle Partner Management (EBS overview) www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.