Oracle Data Integrator: Unauthentifizierte Fernübernahme in Console / Repository Explorer
Zusammenfassung
Die Oracle-Data-Integrator-Versionen 12.2.1.4.0 und 14.1.2.0.0 enthalten in der Komponente Console / Repository Explorer eine kritische Schwachstelle, die über RMI erreichbar ist. Ein unauthentifizierter Angreifer mit Netzwerkzugriff kann das Produkt übernehmen, mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es sind weder Benutzerinteraktion noch Berechtigungen erforderlich. Oracle hat im Critical Patch Update vom Oktober 2026 eine Korrektur veröffentlicht.
Betroffen
- Oracle Data Integrator 12.2.1.4.0
- Oracle Data Integrator 14.1.2.0.0
Behoben in
- Korrektur im Oracle Critical Patch Update vom Oktober 2026 enthalten.
- Konkrete Patch-ID und korrigierte Version: Unbekannt. Im Oracle-Advisory oder in My Oracle Support prüfen.
Umgehung
- Keine gefunden. Oracle empfiehlt das Einspielen des Patches.
- Übergangsmassnahme (keine Herstellerempfehlung): Console und RMI-Listener von unvertrauenswürdigen Netzen fernhalten und den Zugriff bis zum Patch auf ein Management-VLAN oder VPN beschränken.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Keine Hinweise gefunden.
- Öffentlicher Proof of Concept: Keiner gefunden.
- CISA KEV: Nicht bestätigt.
- EPSS: 0.0045 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle Installationen von Data Integrator 12.2.1.4.0 und 14.1.2.0.0 inklusive Console- und RMI-Exposition identifizieren.
- Internetexposition der Console- und RMI-Ports sofort entfernen.
- Das Oracle Critical Patch Update vom Oktober 2026 für Data Integrator über My Oracle Support einspielen und die Patch-ID mit dem Advisory abgleichen.
- Logs auf unerwartete RMI- oder Console-Zugriffe prüfen.
- Oracle-Advisory und CISA KEV in den kommenden Wochen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- CVE-2026-83396 vulners record vulners.com
- CVE-2026-83396 Strix www.strix.ai
- Oracle Security Alerts index www.oracle.com
- Oracle blog: October 2026 CPU released blogs.oracle.com
- Waratek: October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.