Oracle E-Business Suite Applications DBA: Unzureichende Zugriffskontrolle
Zusammenfassung
Oracle E-Business Suite Applications DBA (Komponente AD Utilities), unterstützte Versionen 12.2.3 bis 12.2.15, enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein Angreifer mit einer Anmeldung auf der Infrastruktur, auf der Applications DBA läuft, kann das Produkt übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 7.8). Der Angriff erfordert, dass eine andere Person als der Angreifer eine Aktion ausführt, und der Angriffsvektor ist lokal, sodass eine Netzwerkexposition allein nicht ausreicht.
Betroffen
- Oracle E-Business Suite, Applications DBA (Komponente AD Utilities)
- Unterstützte Versionen 12.2.3 bis 12.2.15
- Versionen ausserhalb dieses Bereichs: Unbekannt.
Behoben in
- Behoben im Oracle Critical Patch Update (CPU) vom Oktober 2026, veröffentlicht am 20. Oktober 2026
- Spezifische Patch-Nummer für diese CVE: Unbekannt. Prüfen Sie das Oracle-Advisory und die My Oracle Support Note KA923.
Umgehung
- Kein von Oracle dokumentierter Workaround.
- Übergangsmassnahme (eigene Analyse, keine Herstelleraussage): interaktive Anmeldung auf Hosts mit Applications DBA auf die benötigten Administratoren beschränken und prüfen, wer Shell-Zugriff hat.
Ausnutzung
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
- Stand 21. Oktober 2026 nicht im CISA-Katalog Known Exploited Vulnerabilities; vor einer Massnahme erneut prüfen.
- Verwandt, aber eigenständig: Für CVE-2026-101767 (Application Object Library, CVSS 9.8) wird berichtet, dass Bedrohungsakteure danach suchen.
Unsere Empfehlung
- Den Oracle CPU vom Oktober 2026 auf Applications DBA und die zugehörigen EBS-Schichten einspielen, nachdem Advisory und KA923 für die genaue Patch-Nummer geprüft wurden.
- CVE-2026-101767 im gleichen Patch-Fenster priorisieren.
- Anmeldung und Shell-Zugriff auf Applications-DBA-Hosts bis zum Patch einschränken und überprüfen.
- Administrative Anmeldungen und Änderungen auf diesen Hosts überwachen.
- Prüfen, ob Ihre Organisation EBS 12.2.3 bis 12.2.15 einsetzt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- NVD entry via Vulners vulners.com
- Oracle EBS CPU October 2026 check (Nessus) vulners.com
- Hackers scanning for recently patched Oracle flaw (BleepingComputer) www.bleepingcomputer.com
- Oracle October 2026 CPU analysis (Waratek) waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.