Oracle Contract Lifecycle Management for Public Sector: Unzureichende Zugriffskontrolle

Zusammenfassung

Oracle Contract Lifecycle Management for Public Sector, Teil von Oracle E-Business Suite (Komponente Award/PO), ist in den Versionen 12.2.3 bis 12.2.15 betroffen. Ein Angreifer mit einem Konto mit niedrigen Privilegien und Netzwerkzugriff per HTTP kann laut Eintrag der CNA kritische Daten erstellen, ändern oder löschen und auf alle Daten zugreifen, die das Produkt erreicht (CVSS 3.1 Basiswert 8.1). Eine Interaktion des Benutzers ist nicht nötig, der Angreifer benötigt aber ein gültiges Benutzerkonto.

Betroffen

• Oracle Contract Lifecycle Management for Public Sector (Oracle E-Business Suite, Komponente Award/PO)
• Unterstützte Versionen 12.2.3 bis 12.2.15

Behoben in

Unbekannt. Der korrigierte Build konnte nicht bestätigt werden. Die Oracle Critical Patch Update-Empfehlung vom Oktober 2026 (Abschnitt E-Business Suite) auf diese CVE prüfen.

Umgehung

• Unbekannt aus Herstellerquellen.
• Bis ein Patch verifiziert ist: HTTP-Zugriff auf die Anwendung auf interne oder vertrauenswürdige Netzwerke beschränken (eigene Empfehlung, keine Aussage des Herstellers).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. Kein Eintrag im CISA KEV-Katalog gefunden (Stand 1. November 2026).
• Kein öffentlicher Proof of Concept gefunden.
• Diese CVE nicht mit CVE-2026-101767 (Application Object Library) verwechseln, einem anderen Problem, zu dem Ausnutzungsversuche gemeldet wurden.

Unsere Empfehlung

• Prüfen, ob dieses Modul im Einsatz ist und ob die EBS-Instanz aus dem Internet erreichbar ist.
• Falls es im Einsatz ist, das Critical Patch Update vom Oktober 2026 prioritär einspielen, sobald die Korrektur in der Oracle-Empfehlung bestätigt ist.
• Falls es nicht im Einsatz ist, ist die Priorität niedrig; zuerst die Produktzuordnung bestätigen.
• HTTP-Zugriffsprotokolle auf ungewöhnliche Aktivitäten überwachen und CISA KEV sowie Herstellermeldungen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update October 2026 www.oracle.com
• NVD record via Vulners vulners.com
• CVE list record via Vulners vulners.com
• Miggo vulnerability database www.miggo.io
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:21.