Oracle Application Object Library: Unzureichende Zugriffskontrolle

Zusammenfassung

Oracle Application Object Library, die Core-Komponente von Oracle E-Business Suite 12.2.3 bis 12.2.15, enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann die Komponente kompromittieren, und Oracle beschreibt das mögliche Ergebnis als Übernahme von Application Object Library. Die Ausnutzung ist schwierig (hohe Angriffskomplexität), und Oracle stuft die Schwachstelle mit CVSS 8.1 (hoch) ein. Eine Ausnutzung dieser CVE ist nicht bekannt, und Oracle E-Business Suite wird vor allem in grösseren mittelständischen Unternehmen eingesetzt.

Betroffen

• Oracle E-Business Suite, Application Object Library (Core-Komponente), Versionen 12.2.3 bis 12.2.15

Behoben in

• October 2026 Critical Patch Update (CPU), veröffentlicht am 20. Oktober 2026
• Genaue Patch-Details: siehe Oracle-Advisory und My Oracle Support Note KA923 (Abdeckung dieser CVE nicht bestätigt)
• Korrigierte Versionsnummer: Unbekannt.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround identifiziert.

Ausnutzung

• Bis zur Veröffentlichung ist keine Ausnutzung von CVE-2026-101700 bekannt; es wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• Die verwandte CVE-2026-101767 (gleiches Produkt und gleiche Versionen, CVSS 9.8) wird als Ziel von Angriffen gemeldet; dies betrifft CVE-2026-101700 nicht.

Unsere Empfehlung

• Prüfen, ob eine Oracle E-Business-Suite-12.2.x-Instanz existiert und welche genaue Version im Einsatz ist.
• Falls die Version 12.2.3 bis 12.2.15 lautet, den October 2026 CPU gemäss Oracle-Advisory einspielen.
• Den HTTP-Zugriff auf E-Business Suite aus dem Internet wo möglich einschränken.
• Die Korrektur in der Oracle Risk Matrix verifizieren und die nächsten CPUs (17. November und 15. Dezember 2026) im Auge behalten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: October 2026 CPU www.oracle.com
• Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
• CVE record mirror (Vulners): CVE-2026-101700 vulners.com
• Rescana: Oracle E-Business Suite CVE-2026-101767, KA923 patch table www.rescana.com
• OffSeq Radar: October 2026 CPU, next CPU dates radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:26.