Oracle Mobile Field Service: Rechteausweitung im Admin UI
Zusammenfassung
Oracle Mobile Field Service, ein optionales Add-on zu Oracle E-Business Suite, enthält eine Schwachstelle im Admin UI (CWE-284, unzureichende Zugriffskontrolle). Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff über HTTP kann das Produkt kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit gemäss CVSS-Vektor. Der genaue Angriffsweg wird in den verfügbaren Quellen nicht detailliert beschrieben, und das Oracle-Advisory wurde nicht auf Patch-Details verifiziert.
Betroffen
- Oracle Mobile Field Service in Oracle E-Business Suite, Versionen 12.2.3 bis 12.2.15
- Betroffene Komponente: Admin UI
Behoben in
Unbekannt. Das Oracle Critical Patch Update Advisory vom Oktober 2026 und My Oracle Support für den Mobile Field Service Admin UI Patch für 12.2.x prüfen.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Bis zum Patch: Internet-Exposition des Admin UI entfernen und den Zugriff auf Management-Netzwerke oder VPN beschränken.
- Konten mit Admin-UI-Zugriff prüfen und nicht benötigte entfernen.
- HTTP-Zugriffslogs des Admin UI auf ungewöhnliche Anfragen überwachen.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise in den verfügbaren Quellen gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- Status im CISA KEV: nicht verifiziert.
- EPSS: 0.00464 (sehr niedrig).
- Schwachstellen-Scanner können diese CVE über ein Tenable-Plugin für das Oktober-2026-EBS-CPU prüfen.
Unsere Empfehlung
- Prüfen, ob Oracle Mobile Field Service überhaupt eingesetzt wird; es ist ein optionales EBS-Add-on.
- Falls im Einsatz: prüfen, ob das Admin UI aus dem Internet erreichbar ist, und diese Exposition entfernen.
- Den Oracle-Patch vom Oktober 2026 für 12.2.x einspielen, sobald er bestätigt ist, und die Fixversion beim Hersteller verifizieren.
- Konten mit niedrigen Rechten im EBS-System prüfen und das Admin UI überwachen.
- CVSS-Wert (8.8) anhand des Oracle-Advisory verifizieren, da die verwandte CVE-2026-101665 mit 8.1 bewertet ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- Oracle Mobile Field Service product page www.oracle.com
- Vulners CNA data for CVE-2026-101692 vulners.com
- Vulners NVD record for CVE-2026-101692 vulners.com
- Strix summary for CVE-2026-101692 (secondary) www.strix.ai
- Tenable/Nessus plugin for Oracle EBS CPU October 2026 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.