Oracle Outside In Technology: Unzureichende Zugriffskontrolle in Outside In Core
Zusammenfassung
Oracle Outside In Technology 8.5.8, insbesondere die Komponente Outside In Core, ist von einer unzureichenden Zugriffskontrolle (CWE-284) betroffen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann das Produkt kompromittieren und unberechtigten Zugriff auf kritische Daten erlangen, mit einem CVSS-3.1-Basiswert von 8.6. Aufgrund einer Scope-Änderung kann sich die Auswirkung auf weitere Produkte erstrecken, die Outside In einbetten. Die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend.
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente Outside In Core)
- Software, die Outside In 8.5.8 einbettet, ist potenziell betroffen; beim Hersteller nachfragen.
Behoben in
Unbekannt. Die Patch-Verfügbarkeitstabelle des Oracle Critical Patch Update Advisory vom Oktober 2026 für Outside In 8.5.8 prüfen.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Übergangsmassnahme (eigene Empfehlung, nicht vom Hersteller): HTTP-Exponierung von Diensten einschränken, die Dokumente mit Outside In verarbeiten.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Ein Aggregator führt die CVE nicht im CISA KEV.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- EPSS 0.00398 (niedrig), laut einem Drittanbieter-Aggregator.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Oracle Fusion Middleware und Drittsoftware, die Outside In 8.5.8 einbettet, inventarisieren und die Hersteller nach deren Status fragen.
- Das Critical Patch Update Advisory vom Oktober 2026 lesen, die korrigierte Version bestätigen und Systeme patchen; dabei internetexponierte und partnerseitig erreichbare Dienste priorisieren.
- Bis zum Patch die HTTP-Exponierung von Diensten einschränken, die Dateien mit Outside In verarbeiten.
- NVD und CISA KEV auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- Strix: CVE-2026-87304 www.strix.ai
- Vulners: NVD:CVE-2026-87304 vulners.com
- Vulners: CNNVD-2026-24711536 (EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.