Oracle JD Edwards EnterpriseOne Tools: Unbefugter Datenzugriff über JDENET
Zusammenfassung
Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 enthalten eine Schwachstelle in der Komponente Interoperability SEC, die über das Netzwerkprotokoll JDENET erreichbar ist. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff auf JDENET kann Daten lesen, erstellen, ändern oder löschen, die über die JD Edwards EnterpriseOne Tools zugänglich sind. Es ist keine Benutzerinteraktion nötig, und die Verfügbarkeit ist nicht betroffen. Der NVD-Eintrag ist noch in Analyse, und CVSS-Wert sowie CWE unterscheiden sich zwischen den Quellen.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (unterstützte Versionen)
- Komponente: Interoperability SEC, Protokoll JDENET
- CVSS 3.1: 8.1 (NVD/CNA, CWE-200); VulDB nennt 6.3 (CWE-269)
Behoben in
Unbekannt. Die Korrektur wird im Oracle Critical Patch Update vom Oktober 2026 erwartet, die gepatchte Release-Nummer wurde jedoch nicht verifiziert. Prüfen Sie die Tabelle zur Verfügbarkeit der Patches im Advisory oder My Oracle Support.
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden. Die Beschränkung des Netzwerkzugriffs auf JDENET über Firewall- oder VPN-Regeln auf vertrauenswürdige Hosts reduziert die Exposition.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche kein Eintrag im CISA KEV Katalog (erneute Prüfung empfohlen).
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Falls JD Edwards EnterpriseOne Tools im Einsatz ist, diese Schwachstelle im Patch-Zyklus vom Oktober 2026 mit hoher Priorität behandeln.
- Die korrigierte Release-Version über das Oracle Advisory oder My Oracle Support beziehen und einspielen.
- Sicherstellen, dass JDENET nicht aus dem Internet erreichbar ist, und den Zugriff auf vertrauenswürdige Hosts beschränken.
- Prüfen, welche Konten auf JDENET zugreifen können, und nicht benötigte Zugriffe entfernen.
- JDENET-Verkehr und JDE-Zugriffsprotokolle auf ungewöhnliche Datenänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- NVD record via Vulners (CVE-2026-87306) vulners.com
- VulDB entry for CVE-2026-87306 vuldb.com
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
- Hivepro: Oracle October 2026 Critical Patch Update www.hivepro.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.