Oracle Data Integrator: Unauthentifizierter Datenzugriff über HTTP
Zusammenfassung
Oracle Data Integrator in den Versionen 12.2.1.4.0 und 14.1.2.0.0 (Komponente Data Transforms) enthält eine Schwachstelle, die als fehlende Authentifizierung für eine kritische Funktion (CWE-306) eingestuft ist. Ein unauthentifizierter Angreifer mit Netzwerkzugriff über HTTP kann das Produkt kompromittieren, kritische Daten sowie Teile der Daten, auf die Oracle Data Integrator zugreifen kann, lesen und einige davon ändern, einfügen oder löschen. Der CVSS-Basiswert beträgt 8.2 (hoch).
Betroffen
- Oracle Data Integrator 12.2.1.4.0
- Oracle Data Integrator 14.1.2.0.0
Behoben in
- Patches sind im Critical Patch Update von Oracle vom Oktober 2026 aufgeführt (https://www.oracle.com/security-alerts/cpuoct2026.html). Patch-Nummern und korrigierte Versionen: Unbekannt. Die Risikomatrix der überarbeiteten Fassung (Rev 2, 26. Okt. 2026) prüfen.
Umgehung
- Keine CVE-spezifische Massnahme bekannt.
- HTTP-Zugriff auf Oracle Data Integrator auf Management- oder Applikationsnetze beschränken (Empfehlung, keine Herstellervorgabe).
Ausnutzung
- Unbekannt. Bis zum 1. Nov. 2026 wurden keine Ausnutzungsberichte, KEV-Eintrag oder öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Alle Oracle-Data-Integrator-Instanzen inventarisieren und auf die Versionen 12.2.1.4.0 oder 14.1.2.0.0 prüfen.
- Prüfen, ob ein Web- oder REST-Endpunkt von ODI aus dem Internet erreichbar ist, und diese Exposition entfernen, falls sie nicht benötigt wird.
- Das Critical Patch Update von Oracle für Oktober 2026 für ODI gemäss der überarbeiteten Oracle-Advisory prioritär einspielen.
- Bis zur Behebung den Netzwerkzugriff auf ODI einschränken und Webprotokolle auf unerwartete Anfragen prüfen.
- NVD und CISA KEV erneut prüfen, da der NVD-Status noch Awaiting Analysis lautet.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle Security Alerts www.oracle.com
- NVD mirror (vulners.com) CVE-2026-83398 vulners.com
- CNA record (vulners.com) CVE-2026-83398 vulners.com
- Oracle CPU October 2026 (vulners.com) vulners.com
- Tenable: Oracle October 2026 CPU connect.tenable.com
- Cyberpress: Oracle October 2026 security update cyberpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.