Oracle Mobile Field Service: Unautorisierter Datenzugriff über Admin UI
Zusammenfassung
Oracle Mobile Field Service, ein Modul von Oracle E-Business Suite, enthält eine Schwachstelle in der Komponente Admin UI, die die Versionen 12.2.3 bis 12.2.15 betrifft. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann kritische Daten erstellen, löschen oder ändern sowie auf Daten von Mobile Field Service zugreifen. Gemäss dem CVSS-Vektor ist die Verfügbarkeit nicht betroffen.
Betroffen
- Oracle Mobile Field Service (Teil von Oracle E-Business Suite), Versionen 12.2.3 bis 12.2.15
- Komponente: Admin UI
Behoben in
Unbekannt. Die behobene Version ist im Critical Patch Update von Oracle vom Oktober 2026 und in My Oracle Support zu prüfen.
Umgehung
Unbekannt. Es wurde keine vom Hersteller bestätigte Massnahme gefunden. Erwogene Übergangsmassnahmen: Netzwerkzugriff auf die Admin UI einschränken und Konten mit Mobile-Field-Service-Rollen überprüfen. Vor dem Anwenden mit Oracle abstimmen.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden (Status im CISA KEV nicht geprüft).
- Öffentlicher Proof of Concept: keine Hinweise gefunden.
- EPSS: 0.00389 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Wenn Sie Oracle E-Business Suite mit Mobile Field Service betreiben, behandeln Sie diese Schwachstelle mit hoher Priorität.
- Spielen Sie das Critical Patch Update von Oracle vom Oktober 2026 ein, sobald die Behebung in der Oracle-Mitteilung bestätigt ist.
- Beschränken Sie den Zugriff auf die Admin UI und die EBS-Webebene und gewähren Sie Mobile-Field-Service-Konten nur benötigten Benutzern.
- Überprüfen Sie die Konten und Rollen von Mobile Field Service und überwachen Sie ungewöhnliche Datenänderungen.
- Falls Sie Mobile Field Service nicht betreiben, ist für diese CVE keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- NVD: CVE-2026-101665 vulners.com
- CVE List: CVE-2026-101665 vulners.com
- Strix.ai: CVE-2026-101665 www.strix.ai
- CNNVD-2026-63529262 vulners.com
- Tenable scan plugin: Oracle E-Business Suite October 2026 CPU vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.