Oracle Access Manager: Unzureichende Authentifizierung in Authentication Engine
Zusammenfassung
Oracle Access Manager, Teil von Oracle Fusion Middleware, enthält eine Schwachstelle in der Authentication Engine, die über HTTP erreichbar ist. Die Versionen 12.2.1.4.0 und 14.1.2.1.0 sind betroffen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann die Schwachstelle unter hoher Angriffskomplexität ausnutzen, wodurch Daten im Access Manager kompromittiert werden können und weitere Systeme betroffen sein können, da Access Manager als Single-Sign-on-Gateway dient. Oracle bewertet den CVSS-3.1-Basiswert mit 8.7, mit hohen Auswirkungen auf Vertraulichkeit und Integrität.
Betroffen
- Oracle Access Manager 12.2.1.4.0
- Oracle Access Manager 14.1.2.1.0
Behoben in
- Korrektur enthalten im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026).
- Patch-IDs pro Version: Unbekannt. Die Patch-Verfügbarkeitstabelle im Oracle-Advisory prüfen.
Umgehung
Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Im Oracle-Advisory einen Abschnitt Workarounds prüfen.
- Übergangsmassnahme (nicht vom Hersteller): Netzwerkzugriff auf die HTTP-Endpunkte des Access Managers einschränken und diese bis zur Installation der Patches hinter einem Reverse Proxy oder einer WAF mit Zugriffsregeln betreiben.
Ausnutzung
- Keine bestätigte Ausnutzung dieser CVE gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.0031 (niedrig) zum Zeitpunkt des Snapshots.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob eine Oracle-Access-Manager-Instanz existiert und welche Version sie betreibt.
- Falls vorhanden, zuerst die internetexponierten Instanzen mit dem Oracle CPU vom Oktober 2026 patchen.
- Falls das Patchen verzögert wird, den Netzwerkzugriff auf die HTTP-Endpunkte sofort einschränken.
- Logs auf ungewöhnliche Zugriffe auf Access-Manager-Endpunkte prüfen.
- Hinweis: CVE-2026-87337, eine separate Schwachstelle im Access Manager mit Bewertung 10.0, wurde im selben CPU-Zyklus korrigiert.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- Strix CVE page CVE-2026-83426 www.strix.ai
- Vulners (NVD mirror) CVE-2026-83426 vulners.com
- Vulners (CIRCL) CVE-2026-83426 vulners.com
- Tenable Nessus plugin 369015 www.tenable.com
- Waratek: Oracle October 2026 CPU waratek.com
- Brandefense: Oracle October 2026 CPU brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.