Oracle Data Integrator: Fehlende Authentifizierung in Console erlaubt Übernahme
Zusammenfassung
Oracle Data Integrator 12.2.1.4.0 und 14.1.2.0.0 enthalten eine Schwachstelle in der Komponente Console / Repository Explorer, bei der eine Authentifizierung fehlt. Ein entfernter, nicht authentifizierter Angreifer mit HTTP-Zugriff auf die Console kann das Produkt kompromittieren und übernehmen. Der CVSS-Basiswert beträgt 9.8 (kritisch), und es sind weder Anmeldung noch Benutzerinteraktion erforderlich.
Betroffen
- Oracle Data Integrator 12.2.1.4.0
- Oracle Data Integrator 14.1.2.0.0
Behoben in
Unbekannt. Der Patch ist Teil des Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026); die gepatchte ODI-Version bzw. Patchnummer ist in den geprüften Quellen nicht bestätigt.
Umgehung
- Zugriff auf die ODI-Console auf Management-Netze oder VPN beschränken und sie bis zum Patch vom Internet blockieren.
- Die Console auf unerwartete Anfragen überwachen.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn festgestellt.
- Kein öffentlicher Proof of Concept gefunden.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle ODI-Installationen erfassen und prüfen, ob die Console aus dem Internet, von Partnernetzen oder aus breiten internen Segmenten erreichbar ist.
- Das Oracle Critical Patch Update vom Oktober 2026 prioritär auf alle betroffenen ODI-Versionen anwenden und die Behebung im Oracle-Advisory prüfen.
- Bis zum Patch den Console-Zugriff wie oben beschrieben einschränken.
- Zusätzlich die verwandte Schwachstelle CVE-2026-83396 (RMI) und weitere ODI-Probleme aus 2026 prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- Oracle blog: October 2026 Critical Patch Update released blogs.oracle.com
- Strix: CVE-2026-83397 www.strix.ai
- Vulners: CVELIST CVE-2026-83397 vulners.com
- Cyberpress: Oracle October 2026 security update cyberpress.org
- Waratek: October 2026 Critical Patch Update waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.