Oracle Product Hub (E-Business Suite): Improper access control
Zusammenfassung
Oracle E-Business Suite Product Hub (Komponente Internal Operations) enthält einen Zugriffskontrollfehler (CWE-284). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff via HTTP kann Product Hub übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 8.8). Für die Ausnutzung ist ein gültiges Konto mit niedrigen Berechtigungen erforderlich, daher sind Internet-Exposition und Kontohygiene entscheidend.
Betroffen
- Oracle E-Business Suite 12.2.3 bis 12.2.15, Modul Product Hub, Komponente Internal Operations
Behoben in
- Im Oracle Critical Patch Update vom Oktober 2026 enthalten (veröffentlicht am 20. Oktober 2026).
- Patch-Nummer pro CVE: Unbekannt. Sekundärquellen verweisen auf My Oracle Support Note KA923; den Patch in der Oracle-Risikomatrix bestätigen.
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert.
- HTTP-Zugriff auf EBS einschränken und das Netzwerk bis zur Behebung segmentieren.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung sind keine öffentlichen Berichte über Ausnutzung bekannt.
- CISA SSVC: Exploitation none, Automatable no.
- CISA-KEV-Status: Unbekannt.
- Öffentlicher Proof of Concept: keiner gefunden.
- EPSS: ca. 0.45%.
Unsere Empfehlung
- Prüfen Sie, ob Ihre EBS-Version im Bereich 12.2.3 bis 12.2.15 liegt.
- Spielen Sie das Oktober-2026-CPU über KA923 ein und prüfen Sie den Patch für diese CVE in der Oracle-Risikomatrix.
- Beschränken Sie bis zur Behebung den HTTP-Zugriff auf EBS und stellen Sie sicher, dass EBS nicht aus dem Internet erreichbar ist.
- Überprüfen Sie EBS-Konten, entfernen Sie veraltete Konten und erzwingen Sie starke Authentisierung.
- Überwachen Sie die EBS-Logs auf ungewöhnliche Product-Hub-Aktivitäten.
- Prüfen Sie den KEV-Katalog und Herstellerhinweise wöchentlich erneut, da der NVD-Status weiterhin Awaiting Analysis lautet.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Vulners CVE record CVE-2026-101854 vulners.com
- Strix CVE-2026-101854 www.strix.ai
- Rescana: Oracle E-Business Suite CVE-2026-101767 and October 2026 CPU www.rescana.com
- Arxdome: Oracle CPU October 2026 arxdome.com
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.