Oracle Product Hub: Unzureichende Zugriffskontrolle in Internal Operations
Zusammenfassung
Oracle Product Hub, ein Modul von Oracle E-Business Suite (EBS) 12.2.3 bis 12.2.15, enthält eine unzureichende Zugriffskontrolle (CWE-284) in der Komponente Internal Operations. Ein Angreifer mit einem EBS-Konto mit niedrigen Rechten und Netzwerkzugriff über HTTP kann Product Hub kompromittieren, laut Angaben von Oracle bis zur Übernahme der Anwendung, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1 Basiswert 8.8). Eine Benutzerinteraktion ist nicht erforderlich. Oracle hat das Problem im Critical Patch Update vom Oktober 2026 behoben.
Betroffen
- Oracle E-Business Suite, Product Hub: 12.2.3 bis 12.2.15 (gemäss CNA-Eintrag)
Behoben in
- Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Benötigte EBS-Patches: siehe My Oracle Support Note KA923 (genaue Patch-IDs für diese CVE: Unbekannt)
Umgehung
- Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Einspielen des Patches ist die dokumentierte Massnahme.
Ausnutzung
- Zum Zeitpunkt der Recherche wurden für diese CVE keine öffentlichen Ausnutzungsberichte oder Proof-of-Concept-Code gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Oracle E-Business Suite 12.2.3 bis 12.2.15 mit Product Hub im Einsatz ist; falls nicht, ist für diese CVE keine Massnahme nötig.
- Falls im Einsatz, die in KA923 aufgeführten Patches aus dem Critical Patch Update vom Oktober 2026 einspielen und mit dem ECPUC-Checker die benötigten Patches bestätigen.
- Bis zum Patch den HTTP-Zugriff auf EBS auf die benötigten Benutzer und Netzwerke beschränken und EBS-Konten mit niedrigen Rechten überprüfen.
- Zugriffsprotokolle von EBS auf ungewöhnliche Anfragen an Product Hub überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- CVE-2026-101853 (vulners) vulners.com
- CVE-2026-101853 (strix.ai) www.strix.ai
- Oracle EBS blog: October 2026 ECPUC update blogs.oracle.com
- Oracle October 2026 CPU: 1295 patches (neoteo) www.neoteo.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.