Oracle Mobile Field Service: Rechteausweitung über Netzwerkzugriff via HTTPS
Zusammenfassung
Oracle Mobile Field Service in Oracle E-Business Suite Versionen 12.2.3 bis 12.2.15 enthält eine Schwachstelle in der Komponente Internal Operations. Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff via HTTPS kann das Produkt kompromittieren, laut CVE-Eintrag. Der CVSS-Basiswert beträgt 8.8 (hoch), und laut CVE-Eintrag kann ein erfolgreicher Angriff zur Übernahme des Produkts führen. Oracle führt die Schwachstelle im Critical Patch Update vom Oktober 2026 auf.
Betroffen
- Oracle Mobile Field Service in Oracle E-Business Suite 12.2.3 bis 12.2.15
- Komponente: Internal Operations
Behoben in
- Unbekannt. Referenz ist das Critical Patch Update von Oracle vom Oktober 2026 (KA923 auf My Oracle Support); der genaue Patch für CVE-2026-101653 ist in den Quellen nicht bestätigt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Zugriff auf den Dienst auf VPN oder bekannte Netze beschränken und jeglichen Internetzugriff entfernen.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: keine gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS: etwa 0.43% zum Zeitpunkt des Snapshots.
Unsere Empfehlung
- Prüfen, ob eine EBS-Instanz 12.2.3 bis 12.2.15 mit Mobile Field Service im Einsatz ist.
- Internetzugriff auf den Dienst entfernen oder auf VPN oder bekannte Netze beschränken.
- Critical Patch Update vom Oktober 2026 gemäss KA923 einspielen, nachdem der genaue Patch für CVE-2026-101653 im Advisory von Oracle bestätigt wurde. Verwandte Einträge vom Oktober 2026 für Mobile Field Service gemeinsam patchen.
- Konten mit niedrigen Rechten für den Dienst prüfen und nicht benötigte entfernen.
- Zugriffsprotokolle bis zum Patch auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- NVD record via Vulners vulners.com
- CVE record via Vulners vulners.com
- Oracle E-Business Suite October 2026 CPU checker blog blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.