Oracle Service Bus: Übernahme über HTTP durch Angreifer mit niedrigen Rechten
Zusammenfassung
Oracle Service Bus, eine Komponente von Oracle Fusion Middleware, enthält im Bereich Core eine Schwachstelle, die über HTTP ausgenutzt werden kann. Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff kann das Produkt kompromittieren, und erfolgreiche Angriffe können zu einer Übernahme von Oracle Service Bus führen. Der CVSS-3.1-Basiswert beträgt 8.8, und die CWE lautet CWE-200 (Offenlegung von Informationen), was die Auswirkungen möglicherweise unterschätzt.
Betroffen
- Oracle Service Bus 12.2.1.4.0
- Oracle Service Bus 14.1.2.0.0
Behoben in
Unbekannt. Das Oracle Critical Patch Update vom Oktober 2026 (Rev. 2) soll diese CVE beheben, die Patch-Kennungen und fixen Versionen konnten jedoch nicht aus der Oracle-Mitteilung verifiziert werden.
- Version 14.1.2.1.0 wird in einem Drittanbieter-Artikel für andere CVEs im selben CPU erwähnt und ist für diese CVE nicht verifiziert.
Umgehung
Unbekannt. Der Hersteller stellt keine Workaround bereit.
- Netzwerkzugriff auf die HTTP-Schnittstellen und Admin-Konsolen von Oracle Service Bus bis zum Patch auf vertrauenswürdige Quellen beschränken.
Ausnutzung
- Nicht im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgeführt.
- CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden. Dies bedeutet, dass keine Berichte gefunden wurden, nicht dass keiner existiert.
- EPSS-Wert: nicht gefunden.
Unsere Empfehlung
- Alle Oracle-Service-Bus-Instanzen und deren Netzwerkexposition inventarisieren.
- Das Oracle Critical Patch Update vom Oktober 2026 auf alle betroffenen Instanzen anwenden und die fixe Version in der Oracle-Mitteilung prüfen.
- HTTP-Zugriff auf Oracle Service Bus bis zum Patch einschränken und überwachen.
- Zugriffsprotokolle auf unerwartete Aktivitäten prüfen sowie Konten mit niedrigen Rechten und geteilte Konten überprüfen.
- Alle Oracle-Service-Bus-Instanzen patchen, auch jene, die mit CVE-2026-87364, CVE-2026-87419 und CVE-2026-87369 zusammenhängen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- Oracle Security Alerts index www.oracle.com
- Vulners NVD record CVE-2026-87359 vulners.com
- OpenCVE CVE-2026-87359 app.opencve.io
- Strix CVE-2026-87359 www.strix.ai
- Vulners Oracle CPU October 2026 vulners.com
- Cyberpress: Oracle October 2026 security update cyberpress.org
- Oracle Security Blog: October 2026 CPU released blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:41.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.