Oracle E-Business Suite SOA Gateway: Unzureichende Zugriffskontrolle

Zusammenfassung

Das Integrated SOA Gateway von Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.15 enthält eine Schwachstelle, die eine Umgehung der Zugriffskontrolle über HTTP erlaubt. Ein Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen und Netzwerkzugriff auf das Gateway kann kritische Daten erstellen, ändern oder löschen sowie auf Daten zugreifen, die über das Gateway erreichbar sind, und einen partiellen Denial of Service auslösen. Es ist keine Benutzerinteraktion erforderlich, und der CVSS-Basiswert beträgt 8.3 (hoch).

Betroffen

• Oracle E-Business Suite Integrated SOA Gateway 12.2.3 bis 12.2.15 (Angabe des CNA: bis einschliesslich 12.2.15)

Behoben in

• Unbekannt. Prüfen Sie das Oktober-2026-Critical-Patch-Update-Advisory von Oracle und My Oracle Support auf den EBS-12.2-Patch, der CVE-2026-101684 abdeckt.

Umgehung

• Kein Workaround des Herstellers identifiziert.
• Den HTTP-Zugriff auf die Endpunkte des SOA Gateway auf interne Netzwerke oder VPN beschränken (Empfehlung, nicht von Oracle).
• Konten prüfen, die Zugriff auf das Gateway haben.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• EBS-12.2.x-Installationen im Bereich 12.2.3 bis 12.2.15 identifizieren.
• Prüfen, ob das SOA Gateway von ausserhalb Ihres Netzwerks erreichbar ist, und den Zugriff bei Erreichbarkeit einschränken.
• Die Patch-Details aus dem Advisory von Oracle beziehen und über den regulären EBS-Patch-Zyklus einspielen, einschliesslich der übrigen EBS-12.2-Korrekturen vom Oktober 2026.
• HTTP-Logs auf ungewöhnliche SOA-Gateway-Anfragen und unerwartete Datenänderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory October 2026 www.oracle.com
• CVE record CVE-2026-101684 (vulners CVE list) vulners.com
• Oracle CPU October 2026 (vulners) vulners.com
• Positive Technologies record PT-2026-119360 vulners.com
• Oracle Critical Patch Update October 2026 overview (SecurityOnline) securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:31.