Oracle E-Business Suite Product Hub: Rechteausweitung über HTTP, Übernahme möglich
Zusammenfassung
Eine Schwachstelle in der Komponente Internal Operations von Oracle Product Hub, Teil von Oracle E-Business Suite 12.2.3 bis 12.2.15, erlaubt einem Angreifer mit einem Konto mit niedrigen Privilegien und Netzwerkzugriff über HTTP, Product Hub zu übernehmen. Der Angriff ist schwierig durchzuführen, und ein erfolgreicher Angriff kann durch eine Scope-Änderung auch andere Produkte betreffen. Oracle bewertet den CVSS-3.1-Basiswert mit 8.5 und weist den Vertraulichkeits-, Integritäts- und Verfügbarkeitsauswirkungen jeweils die volle Stufe zu.
Betroffen
- Oracle E-Business Suite, Komponente Product Hub (Internal Operations)
- Unterstützte Versionen 12.2.3 bis 12.2.15
Behoben in
- Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Spezifische Patch-Nummer pro CVE: Unbekannt. Siehe MOS-Notiz KA923 für das CPU für Release 12 und die passenden Database- und Fusion-Middleware-Fixes.
Umgehung
- Kein herstellerspezifischer Workaround gefunden.
- HTTP-Zugriff auf Product Hub bis zum Patch auf interne Netze oder VPN beschränken.
- Prüfen, welche Konten Zugriff auf Product Hub haben.
Ausnutzung
- In freier Wildbahn: Keine Hinweise gefunden; laut Stand 21. Oktober 2026 nicht im CISA KEV (nicht erneut geprüft).
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob eine EBS-Instanz 12.2.3 bis 12.2.15 mit Product Hub im Einsatz ist. Falls nicht, ist die CVE nicht anwendbar.
- Falls im Einsatz, das CPU vom Oktober 2026 zusammen mit den Database- und Middleware-Fixes gemäss MOS-Notiz KA923 einspielen.
- Bis zum Patch den HTTP-Zugriff auf Product Hub einschränken und dessen Konten prüfen.
- NVD-Eintrag und CISA KEV vor dem Änderungsfenster erneut prüfen, da der NVD-Eintrag noch in Analyse war.
- Die weiteren im selben CPU veröffentlichten Product-Hub-CVEs prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert October 2026 CPU www.oracle.com
- CNA JSON record via Vulners vulners.com
- NVD record via Vulners vulners.com
- Strix CVE details www.strix.ai
- Brandefense: Oracle October 2026 CPU analysis brandefense.io
- SecurityOnline: Oracle October 2026 CPU securityonline.info
- YourCloud: CPU October 2026 (KA923 reference) www.yourcloud.vn
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.