Oracle Communications BRM: Unauthentifizierter Datenzugriff über HTTP
Zusammenfassung
Oracle Communications Billing and Revenue Management (BRM Server) in den Versionen 15.0 bis 15.2 ist von einer Schwachstelle betroffen, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP ermöglicht, das Produkt zu kompromittieren. Eine erfolgreiche Ausnutzung kann zu unberechtigtem Lesezugriff auf kritische Daten sowie zu unberechtigtem Ändern oder Löschen einzelner Daten führen. Es ist keine Benutzerinteraktion erforderlich, der CVSS-3.1-Basiswert beträgt 8.2.
Betroffen
- Oracle Communications Billing and Revenue Management (BRM Server) 15.0.0.0.0
- 15.0.1.0.0
- 15.1.0.0.0
- 15.2.0.0.0
Behoben in
Unbekannt. Die Oracle Critical Patch Update Advisory vom Oktober 2026 auf Patch-Kennungen und korrigierte Versionen prüfen.
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der Recherche gibt es keine Hinweise auf Ausnutzung in freier Wildbahn oder auf einen öffentlichen Proof of Concept.
- Ein Drittanbieter-Aggregator führt die CVE als nicht im CISA-KEV-Katalog; dies wurde nicht am CISA-Katalog überprüft.
- SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Prüfen, ob eine Oracle Communications BRM-Installation im Einsatz ist, etwa bei einem MSP oder einem Telekom-Kunden.
- Die Oracle CPU-Advisory vom Oktober 2026 öffnen und den Patch für die eingesetzte BRM-Server-Version einspielen.
- BRM-Versionen inventarisieren und sicherstellen, dass keine BRM-HTTP-Schnittstelle aus dem Internet erreichbar ist.
- Die zusammenhängenden BRM-CVEs vom Oktober 2026 gemeinsam prüfen, insbesondere CVE-2026-101765 und CVE-2026-101763.
- Den CISA-KEV-Status und die NVD-Analyse nach deren Abschluss überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
- CVE record aggregator (vulners) vulners.com
- Strix CVE-2026-101758 details www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.