Oracle Quality (E-Business Suite): Berechtigungsfehler erlaubt Datenmanipulation
Zusammenfassung
Oracle Quality, ein Modul von Oracle E-Business Suite, enthält eine Schwachstelle in der Komponente Internal Operations. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff via HTTP kann kritische Qualitätsdaten erstellen, ändern oder löschen sowie auf Daten zugreifen, die über das Modul erreichbar sind. Der NVD- und Oracle-Score beträgt 8.1 (hoch); VulDB stuft sie mit 6.3 ein und ordnet sie einem Problem der Berechtigungsverwaltung zu.
Betroffen
- Oracle E-Business Suite, Oracle Quality, unterstützte Versionen 12.2.3 bis 12.2.15
Behoben in
- Unbekannt aus den verfügbaren Quellen. Den Oktober-2026-Critical-Patch-Update (CPU) einspielen und für das EBS-12.2-Patch-Set der Notiz KA923 aus My Oracle Support folgen.
Umgehung
- Kein spezifischer Workaround von Oracle gefunden.
- HTTP-Zugriff auf die EBS-Applikationsschicht einschränken und diese nicht aus dem öffentlichen Internet erreichbar machen.
- Konten mit niedrigen Berechtigungen überprüfen, da die Ausnutzung eine authentifizierte Sitzung erfordert.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn oder öffentliche Proof-of-Concept-Exploits für diese CVE gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.00365 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- Gemäss einer allgemeinen Aussage zum Oktober-CPU nicht im CISA-KEV-Katalog per 21. Oktober 2026 aufgeführt.
Unsere Empfehlung
- Prüfen, ob Oracle Quality installiert ist und ob die EBS-Applikationsschicht aus dem Internet erreichbar ist.
- Den Oktober-2026-EBS-CPU prioritär einspielen, insbesondere bei Systemen mit Internetzugriff, gemäss KA923.
- Bis zur Behebung den HTTP-Zugriff einschränken und Konten mit niedrigen Berechtigungen auf unnötige Zugriffe prüfen.
- Auf ungewöhnliche Änderungen an Qualitäts- und Produktionsdaten achten.
- Die Quellen weichen bei Schweregrad (8.1 gegenüber 6.3) und CWE (CWE-284 gegenüber CWE-269) voneinander ab; für die Priorisierung den Herstellerscore verwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- CVE record via Vulners vulners.com
- VulDB entry 423472 vuldb.com
- Oracle EBS Java CPU checker blog blogs.oracle.com
- Brandefense October 2026 CPU analysis brandefense.io
- SecurityOnline Oracle CPU October 2026 securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.