Oracle Applications Manager: Unzureichende Zugriffskontrolle in Diagnostics

Zusammenfassung

Oracle Applications Manager, eine Komponente von Oracle E-Business Suite, ist in den Versionen 12.2.3 bis 12.2.15 betroffen, und zwar in der Komponente Diagnostics. Ein Angreifer mit niedrigen Privilegien und Netzwerkzugriff über HTTP kann die Anwendung kompromittieren, eine vollständige Übernahme ist möglich, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion nötig, daher kann bereits jedes gültige E-Business-Suite-Konto genügen. Die Analyse durch NVD war zum Zeitpunkt der Veröffentlichung noch ausstehend.

Betroffen

• Oracle Applications Manager (Teil von Oracle E-Business Suite) 12.2.3 bis 12.2.15
• Komponente: Diagnostics
• CVSS 3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)

Behoben in

• Behoben über das Critical Patch Update (CPU) von Oracle vom Oktober 2026.
• Patch-ID und Voraussetzungs-Patches: Unbekannt.
• Für E-Business Suite verweist Oracle im CPU vom Oktober 2026 Kunden auf My Oracle Support Note KA923. Bestätigen Sie, dass diese Note CVE-2026-101742 abdeckt.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Übergangsmassnahme: Netzwerkzugriff auf Applications Manager und seine Diagnose-URLs auf Admin-Netze oder VPN beschränken und prüfen, welche Konten Zugriff auf E-Business Suite haben.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung dieser CVE bekannt.
• CISA-SSVC-Bewertung im offiziellen CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
• Laut Quelle nicht im Katalog Known Exploited Vulnerabilities der CISA am 21. Oktober 2026.
• Nicht verwechseln mit CVE-2026-101767, einer separaten E-Business-Suite-Schwachstelle, die aktiv getestet wird.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die CPU-Patches vom Oktober 2026 für E-Business Suite einspielen und den Patch für CVE-2026-101742 im Advisory von Oracle und in KA923 prüfen.
• Zuerst Instanzen patchen, die aus dem Internet oder breit erreichbar sind, inklusive Test- und Klon-Instanzen.
• Zugriff auf Applications Manager und Diagnose-URLs bis zum Patch auf Admin-Netze oder VPN beschränken.
• E-Business-Suite-Konten prüfen und nicht benötigte Berechtigungen entfernen.
• Logs auf ungewöhnliche HTTP-Zugriffe auf Applications Manager überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• CVE record via Vulners (CVELIST) vulners.com
• Strix CVE summary CVE-2026-101742 www.strix.ai
• Rescana: Oracle E-Business Suite and KA923 guidance www.rescana.com
• Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
• SecurityWeek: Hackers start probing fresh Oracle EBS vulnerability www.securityweek.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:17.