Oracle E-Business Suite: Unzureichende Zugriffskontrolle in Application Object Library
Zusammenfassung
Die Oracle E-Business Suite Versionen 12.2.3 bis 12.2.15 enthalten eine Schwachstelle in der Application Object Library (Komponente DB Privileges). Ein Benutzer mit niedrigen Privilegien und lokalem Logon auf die Anwendungsinfrastruktur kann die Application Object Library übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 7.8). Die CVE-Daten beschreiben keine Ausnutzung ohne gültiges Konto, doch der gemeinsame Kern der E-Business Suite macht eine Kompromittierung erheblich.
Betroffen
- Oracle Application Object Library in Oracle E-Business Suite 12.2.3 bis 12.2.15
- Betroffene unterstützte Versionen: 12.2.3-12.2.15
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Genaue Patch-Nummer: Unbekannt. Die Patch-Liste für EBS Release 12 ist in der My Oracle Support Notiz KA923 zu prüfen.
Umgehung
- Kein vom Hersteller dokumentierter Workaround gefunden.
- Provisorische Massnahme (keine Herstelleranweisung): Logon auf die EBS-Anwendungs- und Datenbankschicht auf die notwendigen Konten beschränken.
Ausnutzung
- Keine Ausnutzung für diese CVE bestätigt.
- Laut Stand 21. Oktober 2026 nicht im CISA-KEV-Katalog gelistet.
- EPSS 0.0016 (sehr niedrig).
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das Critical Patch Update vom Oktober 2026 auf allen EBS-Umgebungen 12.2.3-12.2.15 einspielen, einschliesslich der Java- und Datenbankschicht.
- Konten mit Logon auf die EBS-Anwendungs- und Datenbankschicht prüfen und reduzieren.
- Zuerst die aus dem Internet erreichbaren EBS-Komponenten patchen, da andere Oktober-2026-Schwachstellen in AOL und EBS ohne Login über HTTP erreichbar sind und einen Einstieg ermöglichen könnten.
- Ungewöhnliche Rechteänderungen und Logons auf EBS-Servern überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Strix AI CVE-2026-101757 www.strix.ai
- Vulners NVD record CVE-2026-101757 vulners.com
- VulDB entry 423536 vuldb.com
- Brandefense October 2026 CPU overview brandefense.io
- Waratek October 2026 CPU overview waratek.com
- Oracle EBS Java CPU checker blog blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.