Oracle Strategic Network Optimization: Übernahme ohne Authentifizierung über HTTP
Zusammenfassung
Strategic Network Optimization (SNO), eine Komponente von Oracle E-Business Suite, enthält eine Schwachstelle in der Installationskomponente, die ohne Authentifizierung über HTTP erreichbar ist. Gemäss CVE-Eintrag kann ein erfolgreicher Angriff zur vollständigen Übernahme von SNO führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff erfordert eine Interaktion einer anderen Person als des Angreifers (UI:R). Der CVSS-3.1-Basiswert ist 8.8 (hoch).
Betroffen
- Oracle Strategic Network Optimization 12.2.3 bis 12.2.15 (als Teil von Oracle E-Business Suite 12.2.x)
Behoben in
- Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026). Die genaue SNO-Patch-ID ist unbekannt; Details siehe My Oracle Support Note KA923.
Umgehung
- Unbekannt für SNO spezifisch.
- Oracle hält allgemein fest, dass das Blockieren der für einen Angriff benötigten Netzwerkprotokolle das Risiko senken kann. Dies kann jedoch Anwendungsfunktionen beeinträchtigen und ist keine langfristige Lösung.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung oder einen öffentlichen Proof of Concept in den neuesten Quellen gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht mit CVE-2026-101767 verwechseln, einer anderen EBS-Schwachstelle, die nach dem Patchen gescannt wurde.
Unsere Empfehlung
- Prüfen, ob Kunden Oracle EBS 12.2.3 bis 12.2.15 mit installiertem SNO betreiben, einschliesslich Test- und Klon-Instanzen.
- Falls ja, das Oktober-2026-CPU gemäss MOS KA923 einspielen und den SNO-Patchstand überprüfen.
- Falls das Patchen verzögert wird, den Internetzugriff auf die HTTP-Dienste von EBS einschränken und die EBS-Zugriffsprotokolle überwachen.
- Den Status wöchentlich prüfen und auf einen Bericht über Ausnutzung oder einen Eintrag im CISA KEV achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert October 2026 CPU www.oracle.com
- Oracle EBS Blog: Critical Patch Update October 2026 blogs.oracle.com
- Strix CVE record CVE-2026-101842 www.strix.ai
- NVD mirror on Vulners vulners.com
- VulDB entry 423577 vuldb.com
- Tenable Oracle CPU Oct 2026 plugin vulners.com
- BleepingComputer: scanning for recently patched Oracle flaw www.bleepingcomputer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.