Oracle Call Center Technology: Unzureichende Zugriffskontrolle über RMI
Zusammenfassung
Oracle Call Center Technology, ein Modul von Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.15, enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über RMI kann das Modul kompromittieren, und Oracle beschreibt die Auswirkung als Übernahme des Produkts. Die Ausnutzung ist schwierig (hohe Angriffskomplexität), und die Schwachstelle ist im Critical Patch Update von Oracle vom Oktober 2026 aufgeführt.
Betroffen
- Oracle E-Business Suite, Oracle Call Center Technology (Komponente Internal Operations)
- Unterstützte Versionen 12.2.3 bis 12.2.15
Behoben in
Unbekannt. Den korrekten Patch im Advisory des Oracle Critical Patch Update vom Oktober 2026 oder in My Oracle Support bestätigen.
Umgehung
Unbekannt. Für diese CVE ist keine Workaround-Massnahme dokumentiert.
Ausnutzung
- Kein öffentlicher Bericht über eine Ausnutzung gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob Oracle E-Business Suite mit dem Modul Call Center Technology im Einsatz ist.
- Nach Bestätigung des Patches im Advisory das Oracle Critical Patch Update vom Oktober 2026 einspielen.
- Prüfen, ob der Webbereich und die RMI-Ports von EBS aus dem Internet erreichbar sind, und diese auf VPN oder interne Netzwerke beschränken.
- Logs auf ungewöhnliche Anfragen an Endpunkte von Internal Operations überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle October 2026 Critical Patch Update www.oracle.com
- Vulners CVE record CVE-2026-101672 vulners.com
- Vulners NVD record CVE-2026-101672 vulners.com
- Strix CVE-2026-101672 www.strix.ai
- Waratek: Oracle October 2026 CPU waratek.com
- Rescana: Oracle E-Business Suite advisory (secondary) www.rescana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.