Oracle E-Business Suite Workflow: Remote-Kompromittierung im Notification Mailer

Zusammenfassung

Die Komponente Workflow Notification Mailer von Oracle E-Business Suite (EBS) in den Versionen 12.2.3 bis 12.2.15 enthält eine Schwachstelle, die einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP erlaubt, Workflow zu kompromittieren. Da die Schwachstelle einen Scope Change aufweist, können Angriffe auch weitere Produkte erheblich beeinträchtigen. Der CVSS-3.1-Basiswert beträgt 10.0 (kritisch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Oracle E-Business Suite, Komponente Workflow (Workflow Notification Mailer), Versionen 12.2.3 bis 12.2.15
• Releases vor 12.2.3: Unbekannt.

Behoben in

• Behoben im Critical Patch Update (CPU) von Oracle vom Oktober 2026.
• Patch-Nummer: Unbekannt. Diese ist der Risikomatrix im Advisory von Oracle zu entnehmen.
• Die Komponenten Database und Fusion Middleware benötigen eigene Patches, die im Advisory separat aufgeführt sind.

Umgehung

• Unbekannt. Oracle hat keinen Workaround veröffentlicht; den CPU-Patch vom Oktober 2026 einspielen.
• Von Sicherheitsanbietern genannte Übergangsmassnahmen (nicht durch Oracle bestätigt): EBS nach Möglichkeit vom direkten Internetzugriff trennen und die EBS-Logs auf ungewöhnliche Anfragen externer Adressen überwachen.

Ausnutzung

• Keine aktive Ausnutzung bestätigt. Oracle meldet keine Ausnutzung dieser CVE.
• Kein öffentlicher Proof-of-Concept bestätigt.
• EPSS: 0.52% Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Nicht direkt im KEV-Katalog der CISA überprüft.

Unsere Empfehlung

• Falls Oracle E-Business Suite 12.2.3 bis 12.2.15 eingesetzt wird, die CPU-Patches vom Oktober 2026 einspielen, einschliesslich der separat aufgeführten Patches für Database und Fusion Middleware.
• Falls irgendein Teil von EBS aus dem Internet erreichbar ist, dies als dringend behandeln: Zugriffe einschränken und die Logs auf ungewöhnliche externe HTTP-Anfragen überwachen.
• CVE-2026-101767 (Application Object Library) im gleichen Zeitfenster patchen.
• Falls EBS nur intern betrieben wird, bleibt dies ein Patch mit hoher Priorität innerhalb des CPU-Zyklus vom Oktober.
• Falls EBS nicht genutzt wird, ist keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
• NVD record via Vulners vulners.com
• Strix CVE record (EPSS, CVSS vector) www.strix.ai
• CyberUpdates365: Oracle October 2026 patch update cyberupdates365.com
• Cyberpress: Oracle releases massive security update cyberpress.org
• SecurityOnline: Oracle E-Business Suite vulnerability CVE-2026-101809 securityonline.info
• Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
• Arxdome: Oracle CPU October 2026 patches arxdome.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:11.