Oracle E-Business Suite: Fehlende Authentifizierung in Application Object Library

Zusammenfassung

Die Releases 12.2.3 bis 12.2.15 der Oracle E-Business Suite (EBS) enthalten eine kritische Schwachstelle in der Core-Komponente der Application Object Library. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann die Komponente vollständig kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 9.8). Es sind weder Zugangsdaten noch Benutzerinteraktion nötig, weshalb aus dem Internet erreichbare EBS-Webschichten besonders gefährdet sind. Es wurden Ausnutzungsversuche gegen Decoy-Systeme gemeldet, bekannte erfolgreiche Angriffe auf Kunden gibt es jedoch nicht.

Betroffen

• Oracle E-Business Suite 12.2.3 bis 12.2.15, Application Object Library, Core-Komponente
• Ältere Releases: Unbekannt. Bei Oracle nachfragen.

Behoben in

• Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
• Patch-Details: My Oracle Support Note KA923 (Login erforderlich, Patch-Nummern nicht verifiziert)
• Die vollständige Behebung erfordert zusätzlich die CPU-Einträge vom Oktober 2026 für die EBS-Datenbank- und Fusion-Middleware-Schicht

Umgehung

• Kein Workaround ersetzt den Patch.
• Falls das Patchen verzögert werden muss, den Pfad des TCF-Servlets aus der URL-Firewall-Allowlist der EBS entfernen. Den genauen Pfad zuerst in der Oracle-Advisory bestätigen, da die Quellen unterschiedliche Namen nennen.
• Web-Logs auf ungewöhnliche Anfragen an das TCF-Servlet unter /OA_HTML prüfen.

Ausnutzung

• Oracle hat nicht bestätigt, dass die Schwachstelle ausgenutzt wurde.
• Unbestätigt: Ab dem 27. Oktober 2026 wurden explorative Sondierungen gegen Decoy-EBS-Systeme gemeldet. Bekannte erfolgreiche Angriffe auf Kunden gibt es nicht.
• CISA KEV: Stand 21. Oktober 2026 nicht gelistet. Aktueller Status unbekannt.
• Öffentlicher Proof-of-Concept-Exploit-Code: Keiner verifiziert.

Unsere Empfehlung

• Alle EBS-Instanzen und deren Versionen erfassen und prüfen, ob die Webschicht aus dem Internet erreichbar ist.
• Das Critical Patch Update vom Oktober 2026 einspielen, inklusive der Datenbank- und Middleware-Einträge.
• Falls das Patchen verzögert wird, den Zugriff auf die EBS-Webschicht einschränken und die Allowlist-Massnahme anwenden.
• Web- und Application-Logs auf ungewöhnliche TCF-Servlet-Anfragen und unerwartete SQL-Aktivitäten unter dem Konto APPS überwachen.
• Es ist mit öffentlich verfügbarem Exploit-Code zu rechnen; das Patchen sollte jetzt priorisiert werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (5 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  seck19/CVE-2026-101767-POC · 0xBlackash/CVE-2026-101767 · Sable-Research/CVE-2026-101767-research · shivrajem/ebs-cve-2026-101767-check · aduli198/CVE-2026-101767

Quellen der Recherche

• Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
• Horizon3.ai: CVE-2026-101767 research horizon3.ai
• The Register: Oracle October 2026 CPU www.theregister.com
• The Hacker News: Hackers target critical Oracle E-Business Suite flaw thehackernews.com
• SecurityWeek: Hackers start probing Oracle EBS vulnerability www.securityweek.com
• Rescana: Oracle E-Business Suite CVE-2026-101767 www.rescana.com
• Heise: Attacks target new Oracle E-Business Suite vulnerability www.heise.de

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:18.