Oracle JD Edwards EnterpriseOne Tools: Fehlende Authentifizierung in JDENET
Zusammenfassung
Die Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 enthalten eine Schwachstelle in der Komponente Interoperability SEC, die über den Netzwerkdienst JDENET erreichbar ist. Ein Angreifer mit Netzwerkzugriff auf JDENET und einem Konto mit niedrigen Berechtigungen kann das Produkt vollständig übernehmen, gemäss CVSS mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Oracle hat die Schwachstelle im Critical Patch Update vom Oktober 2026 adressiert. In den geprüften Quellen ist keine Ausnutzung bekannt.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (unterstützte Versionen)
Behoben in
- Unbekannt. Prüfen Sie das Advisory von Oracle zum Critical Patch Update vom Oktober 2026 und die JDE-Patch-Tabellen in My Oracle Support auf die korrigierte Version bzw. Patch-Nummer.
Umgehung
- Unbekannt aus den geprüften Quellen.
- JDENET-Zugriff auf vertrauenswürdige interne Netze beschränken und am Perimeter blockieren.
- Konten mit niedrigen Berechtigungen, die den Dienst erreichen können, überprüfen und reduzieren.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob JD Edwards EnterpriseOne Tools im Bereich 9.2 betrieben wird.
- Das Oracle Critical Patch Update vom Oktober 2026 einspielen, und den Orchestrator-Fix für CVE-2026-91299 zuerst anwenden.
- Sicherstellen, dass JDENET nicht aus dem Internet erreichbar ist.
- Konten mit niedrigen Berechtigungen überprüfen und absichern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- NVD record CVE-2026-87313 (Vulners) vulners.com
- CVE-2026-87313 (Strix) www.strix.ai
- Oracle Security Alerts www.oracle.com
- Oracle critical security patches, October 2026 (SmartTech247) www.smarttech247.com
- Oracle October 2026 Critical Patch Update (Brandefense) brandefense.io
- Oracle Critical Patch Update October 2026 (SecurityOnline) securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:42.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.