Oracle E-Business Suite Integrated SOA Gateway: Fehler erlaubt Übernahme
Zusammenfassung
Oracle E-Business Suite Integrated SOA Gateway (Komponente SOA Provider), Versionen 12.2.3 bis 12.2.15, ist betroffen. Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff über HTTP kann die Komponente kompromittieren, mit möglicher vollständiger Übernahme und Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion nötig, aber ein gültiger EBS-Login. Oracle führt das Problem im Critical Patch Update vom Oktober 2026.
Betroffen
- Oracle E-Business Suite Integrated SOA Gateway (SOA Provider), Versionen 12.2.3 bis 12.2.15
- CVSS 3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Patch-IDs: Unbekannt. Vor dem Rollout über das Oracle-Advisory und My Oracle Support beziehen.
- Keine behobene Version jenseits des CPU vom Oktober 2026 bekannt.
Umgehung
- Unbekannt für diese CVE.
- Generisch, nicht vom Hersteller verifiziert: Zugriff auf den EBS-Webtier und die SOA-Gateway-Endpunkte bis zum Patch auf vertrauenswürdige Netzwerke beschränken.
Ausnutzung
- Aktiv ausgenutzt: nichts gefunden für diese CVE.
- Öffentlicher Proof of Concept: nichts gefunden.
- Status im CISA KEV: nicht verifiziert.
- Separat: Explorative Scans wurden gegen CVE-2026-101767 (Application Object Library) gemeldet, nicht gegen diese CVE.
Unsere Empfehlung
- Im nächsten Wartungsfenster mit dem CPU vom Oktober 2026 patchen; zuvor exakte Patch-IDs bei Oracle erfragen.
- Den Fix auch auf Test- und Klon-Instanzen anwenden.
- Prüfen, ob Webtier oder SOA-Gateway-Endpunkte aus dem Internet erreichbar sind, auch über Partner- oder VPN-Pfade, und den Zugriff bis zum Patch einschränken.
- EBS-Benutzerkonten überprüfen und ungewöhnliche SOA-Gateway-Anfragen überwachen.
- Die Schwachstellen CVE-2026-101685 und CVE-2026-101690 gemeinsam prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- CNA metadata (vulners.com) vulners.com
- Strix CVE summary CVE-2026-101686 www.strix.ai
- Oracle E-Business Suite CPU October 2026 (vulners.com) vulners.com
- Related CVE-2026-101767 exploitation coverage (Help Net Security) www.helpnetsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.