Oracle JD Edwards EnterpriseOne Tools: Beeinträchtigung von Integrität und Verfügbarkeit über HTTP
Zusammenfassung
Eine Schwachstelle in der Komponente Package Build SEC von Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 kann über das Netzwerk per HTTP ausgenutzt werden. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen kann kritische Daten erstellen, löschen oder ändern und die Anwendung zum Hängen oder zu wiederholbaren Abstürzen bringen. Es ist keine Benutzerinteraktion erforderlich. Die Erreichbarkeit der EnterpriseOne-Weboberfläche bestimmt das praktische Risiko.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5
- Komponente: Package Build SEC
- CVSS 3.1: 8.1 (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H)
Behoben in
Unbekannt. Die korrigierte Version oder Patch-ID ist in den geprüften Quellen nicht bestätigt. Prüfen Sie das Oracle Critical Patch Update Advisory vom Oktober 2026 oder My Oracle Support.
Umgehung
Unbekannt. Es ist keine offizielle Massnahme dokumentiert.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. Zum Zeitpunkt der Recherche wurden keine Hinweise, kein Eintrag im CISA KEV und kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob der Kunde JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 einsetzt.
- Prüfen Sie, ob die HTTP-Schnittstelle von EnterpriseOne aus dem Internet erreichbar ist; falls ja, hohe Priorität.
- Beschränken Sie den HTTP-Zugriff auf die EnterpriseOne-Webebene auf interne Netze oder VPN.
- Überprüfen und reduzieren Sie Konten mit niedrigen Berechtigungen und überwachen Sie ungewöhnliche Aktivitäten der Anwendung.
- Spielen Sie das vollständige Oracle Critical Patch Update vom Oktober 2026 ein, sobald der korrigierte Patch-Stand bestätigt ist.
- Prüfen Sie den CISA KEV und die Herstellerkanäle auf Änderungen des Ausnutzungsstatus.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- NVD/Vulners record CVE-2026-87309 vulners.com
- Strix CVE-2026-87309 www.strix.ai
- eSecurityPlanet: Oracle October 2026 Critical Patch Update www.esecurityplanet.com
- HivePro: Oracle October 2026 Critical Patch Update www.hivepro.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.