Oracle JD Edwards EnterpriseOne Tools: Schwachstelle in Enterprise Infrastructure SEC
Zusammenfassung
Eine Schwachstelle in der Komponente Enterprise Infrastructure SEC von Oracle JD Edwards EnterpriseOne Tools erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über SMTP, das Produkt zu kompromittieren. Der Angriff gilt als schwierig (hohe Komplexität), erfordert keine Berechtigungen und keine Benutzerinteraktion. Oracle beschreibt eine mögliche Übernahme des Produkts mit Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1 8.1).
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (unterstützte Versionen)
Behoben in
Unbekannt. Im Oracle Critical Patch Update vom Oktober 2026 den Abschnitt zu JD Edwards EnterpriseOne Tools und die Patch-README prüfen.
Umgehung
- Kein vom Hersteller dokumentierter Workaround gefunden.
- Bis zur Behebung die SMTP-exponierten Komponenten der JDE-Tools-Umgebung auf vertrauenswürdige Netzwerke beschränken (allgemeine Härtung, keine Herstellervorgabe).
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Der Status im CISA-KEV-Katalog wurde nicht geprüft; es wurde kein Ergebnis gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Kunden JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 einsetzen.
- Den korrekten Patch-Stand im Oracle CPU-Advisory vom Oktober 2026 bestätigen und einspielen.
- Prüfen, dass der SMTP-Dienst nicht aus dem Internet oder aus unvertrauenswürdigen Netzwerken erreichbar ist, mittels externem Scan der eigenen Systeme.
- Den CISA-KEV-Katalog prüfen und bis zur Behebung auf Exploit-Meldungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- NVD mirror on Vulners: CVE-2026-87305 vulners.com
- Strix AI: CVE-2026-87305 www.strix.ai
- VulDB entry 423708 vuldb.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.