Oracle JD Edwards EnterpriseOne Tools: Unzureichende Zugriffskontrolle erlaubt Übernahme
Zusammenfassung
Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 ist von einer Schwachstelle in der Zugriffskontrolle (CWE-284) in der Komponente Enterprise Infrastructure SEC betroffen. Ein Angreifer mit einer Anmeldung mit niedrigen Privilegien auf der Infrastruktur, auf der die Tools laufen, kann das Produkt kompromittieren, wobei eine Übernahme möglich ist, die Vertraulichkeit, Integrität und Verfügbarkeit betrifft (CVSS 3.1: 7.8). Der Angriff erfolgt lokal und ist nicht direkt aus dem Internet erreichbar, doch genügt jedes Konto mit niedrigen Privilegien auf dem Host, was ein Risiko für seitliche Bewegungen und Insider darstellt. Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und kein Nachweis einer Ausnutzung gefunden.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5
Behoben in
Unbekannt. Prüfen Sie das Oracle Critical Patch Update vom Oktober 2026 auf den Patch für diese CVE für Ihre Tools-Version.
Umgehung
Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Interimsmassnahme (Analyse, nicht vom Hersteller bestätigt): Anmeldungen auf den Hosts mit den Tools einschränken und Konten mit Zugriff darauf überprüfen.
Ausnutzung
- Aktive Ausnutzung: kein Nachweis gefunden (Sekundärquelle, CISA KEV erneut prüfen)
- Öffentlicher Proof of Concept: keiner gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend
Unsere Empfehlung
- Ermitteln Sie, ob JD Edwards EnterpriseOne 9.2 Tools im Einsatz ist und auf welchen Hosts
- Spielen Sie den Fix aus dem Oracle Critical Patch Update vom Oktober 2026 für Ihre Version ein, sobald dieser bestätigt ist
- Schränken Sie bis zur Behebung Anmeldungen auf den betroffenen Hosts ein, überprüfen Sie diese und überwachen Sie ungewöhnliche Anmeldungen und Änderungen von Berechtigungen
- Prüfen Sie den genauen Vektor in der NVD, sobald die Analyse abgeschlossen ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- CVE record summary (Vulners) vulners.com
- CNA affected range (Strix) www.strix.ai
- October 2026 CPU commentary (Waratek) waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.