Oracle Concurrent Processing: Rechteausweitung über lokalen Zugriff
Zusammenfassung
Oracle Concurrent Processing, eine Komponente von Oracle E-Business Suite 12.2, ist in den Versionen 12.2.3 bis 12.2.15 betroffen. Ein Benutzer mit niedrigen Rechten, der sich auf der Infrastruktur anmelden kann, auf der Concurrent Processing läuft, kann die Komponente kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 7.8). Zum Zeitpunkt der Recherche sind weder Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept bekannt.
Betroffen
- Oracle Concurrent Processing (Oracle E-Business Suite 12.2) in den Versionen 12.2.3 bis 12.2.15
- Andere Einträge beschreiben für denselben Versionsbereich einen Angreifer mit hohen Rechten; hier wird der Eintrag des CNA (niedrige Rechte) verwendet.
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026).
- Genaue EBS-Patchnummer für diese CVE: Unbekannt. Im Oracle-Advisory prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt. Patching ist die einzig bestätigte Behebung.
- Anmeldung auf EBS-Anwendungs- und Concurrent-Manager-Hosts auf benötigte Benutzer beschränken.
- Least Privilege für Betriebssystem- und EBS-Konten durchsetzen.
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bekannt.
- Öffentlicher Proof of Concept: nicht bekannt.
- EPSS-Score: 0.00171 (niedrig).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Falls Sie EBS 12.2.3 bis 12.2.15 betreiben, die CPU-Patches vom Oktober 2026 für EBS, Datenbank und Fusion Middleware einspielen.
- Den genauen Patch für CVE-2026-101676 im Oracle-Advisory bestätigen.
- Anmeldungen auf EBS-Hosts bis zum Patch einschränken und überwachen.
- Internetseitige EBS-Schwachstellen desselben Releases priorisieren.
- Falls Sie EBS nicht betreiben, ist keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert October 2026 CPU www.oracle.com
- Vulners CVE record CVE-2026-101676 vulners.com
- Strix CVE-2026-101676 www.strix.ai
- Oracle CPU October 2026 overview (SecurityOnline) securityonline.info
- Breachroad: Oracle CPU October 2026 fixes breachroad.com
- The Hacker News: Hackers target critical Oracle EBS flaw thehackernews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.