Oracle E-Business Suite Integrated SOA Gateway: Rechteausweitung über HTTP
Zusammenfassung
Der Oracle E-Business Suite Integrated SOA Gateway (Komponente SOA Provider) in den Versionen 12.2.3 bis 12.2.15 ist von einer Schwachstelle betroffen, die einem Benutzer mit niedrigen Rechten und Netzwerkzugriff über HTTP ermöglicht, das Gateway zu übernehmen. Der CVSS-Wert beträgt 8.8, die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft. Es ist keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch ein gültiges Konto mit niedrigen Rechten.
Betroffen
- Oracle E-Business Suite Integrated SOA Gateway (Komponente: SOA Provider)
- Versionen 12.2.3 bis 12.2.15 (laut CNA-Eintrag)
Behoben in
Unbekannt. Es wurde keine patchspezifische Nummer für diese CVE gefunden. Die CPU vom Oktober 2026 für Oracle E-Business Suite Release 12 gemäss My Oracle Support Note KA923 einspielen und die Behebung für CVE-2026-101685 überprüfen.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Zugriff auf die SOA-Gateway-Endpunkte auf vertrauenswürdige interne Netze beschränken (Empfehlung Dritter, nicht von Oracle bestätigt).
- E-Business Suite und Middleware-Konsolen nicht über das öffentliche Internet erreichbar machen.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Stand 21. Oktober 2026 nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob E-Business Suite in den Versionen 12.2.3 bis 12.2.15 läuft und ob SOA Gateway genutzt wird.
- Prüfen, ob Gateway oder Applikations-Tier aus dem Internet erreichbar sind, und den Zugriff bei Bedarf einschränken.
- Die CPU vom Oktober 2026 gemäss KA923 einspielen, zuerst auf internet-exponierten Systemen, und die Behebung für diese CVE überprüfen.
- Konten mit niedrigen Rechten und Integrationskonten überprüfen.
- NVD-Eintrag und CISA-KEV auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- CVE record (CNA data) via Vulners vulners.com
- NVD record via Vulners vulners.com
- Strix CVE details www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
- Securityonline: Oracle CPU October 2026 securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.