Oracle Mobile Field Service: Unzureichende Zugriffskontrolle erlaubt Übernahme des Produkts
Zusammenfassung
Oracle Mobile Field Service, ein Modul von Oracle E-Business Suite 12.2, enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTPS kann das Produkt übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Das Risiko hängt davon ab, ob das Modul in Ihrer Umgebung aus unvertrauenswürdigen Netzen erreichbar ist.
Betroffen
- Oracle Mobile Field Service, unterstützte Versionen 12.2.3 bis 12.2.15 (CNA-Eintrag)
Behoben in
- Behoben im Critical Patch Update von Oracle vom Oktober 2026 (veröffentlicht am 20. Oktober 2026).
- Spezifische EBS-Patchnummer für diese CVE: Unbekannt. Oracle verweist auf MOS KA923 und KA1818 (Oracle-Support-Login erforderlich).
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Bis zur Behebung den Zugriff auf die URLs von Mobile Field Service auf bekannte Netze der Feldmitarbeitenden oder VPN beschränken.
Ausnutzung
- Bis zum 21. Oktober 2026 wurde keine Ausnutzung in freier Wildbahn festgestellt; im damaligen Abgleich nicht im CISA-KEV-Katalog gelistet.
- Oracle meldet keine Ausnutzung dieser CVEs.
- Kein öffentlicher Proof of Concept gefunden. EPSS-Wert 0.00433.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob EBS 12.2 mit Mobile Field Service im Einsatz ist und welche Version installiert ist.
- Den Patch aus dem Critical Patch Update vom Oktober 2026 für dieses Produkt einspielen, einschliesslich der weiteren Mobile-Field-Service-CVEs im selben CPU.
- Bis zur Behebung den Zugriff auf bekannte Netze oder VPN beschränken und die berechtigten Konten prüfen.
- Protokolle auf ungewöhnliche Anmeldungen prüfen und nach dem Patchen den CISA-KEV-Katalog und die Oracle-Sicherheitsmitteilung erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- Oracle E-Business Suite Technology Blog: October 2026 CPU blogs.oracle.com
- Vulners CVE record CVE-2026-101654 vulners.com
- Strix CVE-2026-101654 www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.