Oracle Communications BRM - Elastic Charging Engine: Unzureichende Zugriffskontrolle
Zusammenfassung
Oracle Communications BRM - Elastic Charging Engine (ECE) Version 15.2.0.0.0 ist von einer Schwachstelle in der Komponente Security betroffen. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über TLS kann kritische Daten erstellen, ändern oder löschen sowie auf Daten zugreifen, die in ECE verfügbar sind. Die Vertraulichkeit und Integrität sind mit hoch bewertet, die Verfügbarkeit ist nicht betroffen.
Betroffen
- Oracle Communications BRM - Elastic Charging Engine 15.2.0.0.0 (gemäss CNA-Eintrag)
- Die produktbezogene Liste von Oracle umfasst zusätzlich 15.0.0.0.0, 15.0.1.0.0 und 15.1.0.0.0; für diese CVE nicht bestätigt
Behoben in
Unbekannt.
- Die Oracle-Sicherheitsaktualisierung vom Oktober 2026 sowie das Patch Availability Document auf eine behobene Version prüfen.
Umgehung
Unbekannt.
- In den Quellen wurde keine Workaround des Herstellers gefunden.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA KEV nicht geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00326 zum Zeitpunkt der Recherche (niedrig).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Oracle Communications BRM - Elastic Charging Engine im Einsatz ist und welche Version läuft.
- Falls im Einsatz: Oracle-Sicherheitsaktualisierung vom Oktober 2026 lesen und die Korrektur für die eigene Version einspielen; zusammen mit CVE-2026-101763 (CVSS 9.8, gleiche Aktualisierung) planen, die dringender ist.
- Falls für die eigene Version keine Korrektur verfügbar ist, den Netzwerkzugriff auf die Verwaltungs- und Serviceschnittstellen von ECE auf bekannte Hosts beschränken, starke Authentifizierung erzwingen und Konten mit niedrigen Berechtigungen überprüfen.
- NVD und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- CVE record aggregator (Vulners) vulners.com
- Oracle October 2026 CPU product list (Vulners) vulners.com
- Strix CVE summary CVE-2026-101791 www.strix.ai
- Oracle July 2026 CPU advisory (Patch Availability Document reference) www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.