Oracle Concurrent Processing: Unzureichende Zugriffskontrolle
Zusammenfassung
Oracle Concurrent Processing, eine Komponente von Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.15, enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein Angreifer mit hohen Berechtigungen und lokalem Login auf der Infrastruktur, auf der Concurrent Processing läuft, kann die Komponente übernehmen, und da sich der Scope ändert, können auch andere Produkte betroffen sein. Der Angriff setzt ein bestehendes administratives Konto voraus, daher besteht das Hauptrisiko für EBS-Hosts mit vielen Admin-Konten. Der CVSS-3.1-Basiswert beträgt 8.2 (Hoch).
Betroffen
- Oracle E-Business Suite, Oracle Concurrent Processing, unterstützte Versionen 12.2.3 bis 12.2.15
- Komponente: Other
Behoben in
- Unbekannt. Der korrigierte EBS-Patch wird in den geprüften Quellen nicht genannt. Prüfen Sie den EBS-Abschnitt des Oracle Critical Patch Update Advisory - October 2026 auf den Patch für Concurrent Processing.
Umgehung
- In den geprüften Quellen ist für diese CVE kein Workaround dokumentiert.
Ausnutzung
- Für CVE-2026-101704 ist in den geprüften Quellen keine Ausnutzung in freier Wildbahn bekannt.
- Es wurde kein öffentlicher Proof-of-Concept gefunden.
- EPSS 0.0019 (niedrig).
- Nicht verwechseln mit CVE-2026-101767, einer anderen EBS-Schwachstelle in Application Object Library, die aktiv gescannt wird.
Unsere Empfehlung
- Prüfen Sie, ob eine EBS-Instanz in den Versionen 12.2.3 bis 12.2.15 betroffen ist.
- Spielen Sie das Critical Patch Update vom Oktober 2026 mit allen EBS-Patches ein, nicht nur für diese CVE, und priorisieren Sie aus dem Internet erreichbare EBS-Komponenten.
- Beschränken und überprüfen Sie Konten mit hohen Berechtigungen in EBS und auf dem Betriebssystem.
- Beschränken Sie den Zugriff auf die EBS-Webkomponente auf vertrauenswürdige Netze.
- Prüfen Sie die Logs auf unerwartete administrative Aktivitäten auf EBS-Hosts.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- NVD record and Oracle reference (Vulners) vulners.com
- Vendor data (CNA, Vulners) vulners.com
- Strix summary CVE-2026-101704 www.strix.ai
- BleepingComputer: scanning for recently patched Oracle flaw (CVE-2026-101767) www.bleepingcomputer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.