Oracle Communications BRM Elastic Charging Engine: Authentifizierungsumgehung über RMI
Zusammenfassung
Oracle Communications BRM - Elastic Charging Engine, ein Produkt für die Tarifierung und Abrechnung im Telekommunikationsbereich, enthält in der Cloud-nativen Bereitstellung eine Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff über RMI die Übernahme des Produkts ermöglicht. Der CVSS-Wert beträgt 9.8 (kritisch) mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die NVD- und CNA-Einträge klassifizieren das Problem als fehlende Authentifizierung (CWE-287, CWE-306), während ein VulDB-Eintrag eine Deserialisierung nicht vertrauenswürdiger Daten (CWE-502) beschreibt; diese Angabe ist bei Oracle noch nicht verifiziert.
Betroffen
- Oracle Communications BRM - Elastic Charging Engine 15.0.0.0.0
- Oracle Communications BRM - Elastic Charging Engine 15.0.1.0.0
- Oracle Communications BRM - Elastic Charging Engine 15.1.0.0.0
- Oracle Communications BRM - Elastic Charging Engine 15.2.0.0.0
- Komponente: Cloud-native Bereitstellung
Behoben in
Unbekannt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Bis ein Patch bestätigt ist, den Netzwerkzugriff auf die RMI-Ports auf bekannte interne Hosts beschränken und das Produkt nicht aus dem Internet erreichbar halten.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS etwa 0.005 (sehr niedrige vorhergesagte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob Oracle Communications BRM - Elastic Charging Engine installiert ist; falls nicht, ist keine Massnahme nötig.
- Falls installiert, den RMI-Zugriff sofort auf vertrauenswürdige interne Hosts beschränken und prüfen, dass das Produkt nicht aus dem Internet oder aus nicht vertrauenswürdigen Netzsegmenten erreichbar ist.
- Das Oracle Critical Patch Update vom Oktober 2026 und das Patch Availability Document auf My Oracle Support prüfen und den Fix sobald verfügbar einspielen.
- Den Oracle-Support beiziehen, um die Ursache und den korrekten Fix zu bestätigen.
- Auf unerwartete RMI-Verbindungen achten und die gesamte Produktlinie patchen, einschliesslich verwandter Oracle-CVEs aus demselben CPU.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- NVD mirror record CVE-2026-101763 vulners.com
- Strix CVE record CVE-2026-101763 www.strix.ai
- CVEList record CVE-2026-101763 vulners.com
- VulDB entry 423544 vuldb.com
- CNNVD-2026-85993632 vulners.com
- CVE Brief archive 2026-10-21 cvebrief.com
- Oracle Critical Patch Update Advisory - January 2026 www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:20.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.