Oracle Mobile Field Service: Unzureichende Zugriffskontrolle erlaubt Übernahme
Zusammenfassung
Oracle Mobile Field Service, Teil von Oracle E-Business Suite, in den Versionen 12.2.3 bis 12.2.15 enthält eine unzureichende Zugriffskontrolle (CWE-284), die über HTTP erreichbar ist. Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff kann das Produkt kompromittieren, ohne dass eine Benutzerinteraktion nötig ist; der CVSS-3.1-Basiswert beträgt 8.8. Erfolgreiche Angriffe können zur Übernahme des Produkts führen. Die Analyse durch die NVD war zum Zeitpunkt der Recherche noch ausstehend.
Betroffen
- Oracle Mobile Field Service (Teil von Oracle E-Business Suite), Versionen 12.2.3 bis einschliesslich 12.2.15
- Komponente: Internal Operations
Behoben in
Unbekannt. Prüfen Sie das Oracle Critical Patch Update Advisory für Oktober 2026.
Umgehung
Unbekannt. Prüfen Sie das Oracle-Advisory und den Oracle Support auf offizielle Hinweise.
- Beschränken Sie den Netzwerkzugriff auf die HTTP(S)-Endpunkte auf Netzwerke der Aussendienstmitarbeitenden oder auf VPN, bis ein Patch bestätigt ist.
- Prüfen Sie, welche Konten Zugriff auf das Produkt haben.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof-of-Concept gefunden.
- EPSS 0.00433 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob Mobile Field Service installiert ist und welche Version läuft.
- Spielen Sie das Oracle Critical Patch Update vom Oktober 2026 ein, sobald die korrigierte Version für Ihre Release-Stufe bestätigt ist.
- Beschränken Sie den HTTP-Zugriff auf Netzwerke der Aussendienstmitarbeitenden oder auf VPN und prüfen Sie die berechtigten Konten.
- Prüfen Sie die Zugriffsprotokolle der betroffenen Endpunkte auf ungewöhnliche Aktivitäten.
- Beobachten Sie CISA KEV und Herstellerkanäle auf Berichte zur Ausnutzung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
- CVE record aggregation (Vulners, CVE List) vulners.com
- Strix CVE-2026-101664 details www.strix.ai
- PT-2026-119340 (Vulners, listed reference) vulners.com
- CVE List release 2026-10-24_0400Z github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.