Oracle E-Business Suite Integrated SOA Gateway: Unzureichende Zugriffskontrolle
Zusammenfassung
Oracle E-Business Suite Integrated SOA Gateway (Komponente SOA Provider) in den Versionen 12.2.3 bis 12.2.15 weist eine Schwachstelle in der Zugriffskontrolle auf (CWE-284). Ein nicht authentifizierter Angreifer mit HTTP-Netzwerkzugriff kann sie mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen. Erfolgreiche Angriffe können unberechtigten Zugriff auf kritische Daten ermöglichen, die das Gateway erreichen kann, und mit einem Scope Change auch andere Produkte betreffen.
Betroffen
- Oracle E-Business Suite Integrated SOA Gateway, Komponente SOA Provider
- Unterstützte Versionen 12.2.3 bis 12.2.15
Behoben in
- Oracle Critical Patch Update vom Oktober 2026 (20. Okt. 2026)
- Spezifische Patch-Nummer für diese CVE: Unbekannt.
- My Oracle Support Note KA923 wird für die benötigten Patches genannt; es ist nicht bestätigt, dass sie diese CVE abdeckt.
Umgehung
- Keine Workaround des Herstellers bekannt.
- Übergangsmassnahme, falls das Patchen verzögert ist: Netzwerkzugriff auf die SOA-Gateway-Endpunkte auf bekannte Integrationspartner beschränken und HTTP-Zugriffe darauf protokollieren.
Ausnutzung
- In den Quellen wird bis 1. Nov. 2026 keine Ausnutzung gemeldet.
- Kein öffentlicher Proof of Concept bekannt.
- Am 21. Okt. 2026 nicht im CISA-KEV-Katalog aufgeführt; der aktuelle KEV-Status wurde nicht erneut geprüft.
Unsere Empfehlung
- Den Oracle CPU vom Oktober 2026 auf die EBS-Anwendung, die Datenbank und die Fusion-Middleware-Schicht anwenden.
- Den gesamten CPU einspielen, nicht nur diese CVE, da andere unauthentifizierte EBS-Schwachstellen darin höher bewertet sind.
- Prüfen, ob SOA-Gateway-Endpunkte aus dem Internet erreichbar sind, und exponierte Instanzen mit hoher Priorität behandeln.
- Zugriff auf bekannte Partner beschränken und die HTTP-Zugriffsprotokolle der Endpunkte überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
- CVE-2026-101688 CNA record (Vulners CVEList) vulners.com
- CVE-2026-101688 details (Strix) www.strix.ai
- Oracle E-Business Suite Integrated SOA Gateway Implementation Guide docs.oracle.com
- Oracle October 2026 Critical Patch Update overview (Brandefense) brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.