Oracle E-Business Suite: Unzureichende Berechtigungsprüfung im Integrated SOA Gateway
Zusammenfassung
Das Oracle E-Business Suite Integrated SOA Gateway (Komponente SOA Provider) in den unterstützten Versionen 12.2.3 bis 12.2.15 enthält eine unzureichende Berechtigungsprüfung (CWE-284). Ein nicht authentifizierter Angreifer mit HTTP-Zugriff aus dem Netzwerk kann kritische Daten einsehen und einige Daten ändern, einfügen oder löschen, ohne ein Benutzerkonto zu besitzen. Der NVD-Wert nach CVSS 3.1 beträgt 8.2, während VulDB die Schwachstelle mit 7.3 und CWE-285 bewertet. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Oracle E-Business Suite Integrated SOA Gateway (SOA Provider), unterstützte Versionen 12.2.3 bis 12.2.15
Behoben in
- Unbekannt. Das Oracle Critical Patch Update vom Oktober 2026 installieren. Die genaue Patch-Kennung wurde nicht verifiziert.
Umgehung
- Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden.
- Bis zum Patch: Zugriff auf die SOA-Gateway-Endpunkte auf vertrauenswürdige interne Netze beschränken und Logs auf unerwartete Anfragen prüfen (Empfehlung, keine Herstelleraussage).
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Kein Eintrag im CISA KEV und keine Herstelleraussage gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Alle Oracle-E-Business-Suite-Installationen in den Versionen 12.2.3 bis 12.2.15 identifizieren, insbesondere solche mit aus dem Internet erreichbaren SOA-Gateway-Endpunkten.
- Das Critical Patch Update vom Oktober 2026 einspielen und die genaue Fix-Version im Advisory von Oracle prüfen.
- Zugriff auf das Gateway beschränken und Logs bis zur Installation des Patches überwachen.
- CVE-2026-101809 (Workflow Notification Mailer, CVSS 10.0) im selben Zeitfenster patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- NVD record via Vulners (CVE-2026-101690) vulners.com
- Strix CVE details (CVE-2026-101690) www.strix.ai
- VulDB entry 423402 vuldb.com
- Positive Technologies PT-2026-119363 (SOA Provider) vulners.com
- Cybersecurity News: Massive Oracle security update cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.