Oracle Solaris: Authentifizierungsumgehung im Image Packaging System erlaubt Übernahme

Zusammenfassung

Eine Schwachstelle in der Komponente Image Packaging System (IPS) von Oracle Solaris 11.3 und 11.4 erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, das System zu kompromittieren. Oracle stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als total ein, mit einem CVSS-3.1-Basiswert von 9.8. Es ist keine Benutzerinteraktion nötig, weshalb jeder erreichbare IPS-HTTP-Dienst ein Vorrangrisiko darstellt.

Betroffen

• Oracle Solaris 11.3
• Oracle Solaris 11.4
• Komponente: Image Packaging System (IPS), über HTTP erreichbar

Behoben in

Unbekannt. Prüfen Sie das Critical Patch Update von Oracle vom Oktober 2026 und My Oracle Support auf die korrigierten SRU- oder ESU-Versionen.

Umgehung

Dem Hersteller ist kein Workaround bekannt.

• Übergangsmassnahme (nicht vom Hersteller): Zugriff auf den IPS-HTTP-Dienst auf Management- oder Build-Netzwerke beschränken und bis zum Patch an der Perimetergrenze blockieren.

Ausnutzung

• Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn (kein Eintrag im CISA KEV gefunden).
• Kein öffentlicher Proof of Concept gefunden; dies ist ein schwacher Hinweis auf Abwesenheit.
• EPSS 0.0045 zum Zeitpunkt des Snapshots (tiefe prognostizierte Ausnutzungswahrscheinlichkeit).
• Gemeldet von Positive Technologies (PT-2026-119532).

Unsere Empfehlung

• Inventarisieren Sie alle Solaris-11.3- und 11.4-Systeme und prüfen Sie, ob IPS läuft.
• Beschränken Sie den Netzwerkzugriff auf den IPS-HTTP-Dienst umgehend.
• Beschaffen Sie die korrigierten Versionen aus dem Critical Patch Update von Oracle vom Oktober 2026 und spielen Sie sie zusammen mit den verwandten IPS-CVEs CVE-2026-87417, CVE-2026-87421 und CVE-2026-87414 ein.
• Prüfen Sie NVD und CISA KEV erneut auf Änderungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update October 2026 www.oracle.com
• Oracle Solaris Third Party Bulletin July 2026 www.oracle.com
• NVD mirror (Vulners) vulners.com
• CNA/CVE mirror (Strix) www.strix.ai
• Vulners CNNVD record (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:17.