Oracle E-Business Suite: Unzureichende Zugriffskontrolle in Shipping Execution

Zusammenfassung

Oracle E-Business Suite in den Versionen 12.2.3 bis 12.2.15 enthält eine Schwachstelle bei der Zugriffskontrolle (CWE-284) im Modul Shipping Execution, Komponente Workflow Events. Ein nicht authentifizierter Angreifer mit HTTP-Zugriff über das Netzwerk kann Shipping Execution kompromittieren; Oracle beschreibt eine mögliche Übernahme des Moduls mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1: 8.1). Die Ausnutzung gilt als schwierig, da die Angriffskomplexität hoch ist.

Betroffen

• Oracle E-Business Suite, Shipping Execution, Komponente Workflow Events
• Versionen 12.2.3 bis 12.2.15

Behoben in

Unbekannt. Der Fix ist Teil des Critical Patch Update von Oracle vom Oktober 2026; der genaue Patch für diese CVE wurde nicht bestätigt.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Ein Workaround darf nicht anstelle eines Patches eingesetzt werden.

Ausnutzung

• Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Exploitation none, nicht automatisierbar.
• Der Status kann sich ändern; CISA KEV und das Oracle-Advisory sind zu beobachten.

Unsere Empfehlung

• Prüfen, ob eine betroffene EBS-Instanz 12.2.3 bis 12.2.15 mit Shipping Execution existiert und ob sie aus dem Internet erreichbar ist.
• Den genauen Patch aus dem Oracle Critical Patch Update vom Oktober 2026 sowie der My Oracle Support Note KA923 beziehen und nach dem Test einspielen.
• Bis zur Behebung den Zugriff auf EBS- und Middleware-Konsolen auf interne Netzwerke beschränken.
• Logs auf ungewöhnliche HTTP-Anfragen an EBS überwachen und CISA KEV auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory October 2026 www.oracle.com
• NVD record mirror (Vulners) vulners.com
• Strix CVE page www.strix.ai
• Brandefense October 2026 CPU analysis brandefense.io
• YourCloud CPU October 2026 (KA923 reference) www.yourcloud.vn
• Oracle EBS blog: October 2026 EJCPUC updates blogs.oracle.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:22.