Oracle Service Bus: Fehlende Zugriffskontrolle erlaubt Übernahme über HTTP
Zusammenfassung
Oracle Service Bus in den Versionen 12.2.1.4.0 und 14.1.2.0.0, Teil von Oracle Fusion Middleware, enthält eine Schwachstelle in der Komponente Core, die als fehlende Zugriffskontrolle (CWE-284) eingestuft ist. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff via HTTP kann das Produkt kompromittieren, wobei die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit gemäss CVSS 3.1 mit 8.8 als hoch bewertet werden. Für den Angriff ist keine Benutzerinteraktion nötig. Oracles Advisory beschreibt das Ergebnis als Übernahme von Oracle Service Bus.
Betroffen
- Oracle Service Bus 12.2.1.4.0
- Oracle Service Bus 14.1.2.0.0
Behoben in
Unbekannt. Die Zeile zu Oracle Service Bus im Oracle Critical Patch Update Advisory vom Oktober 2026 prüfen, um den Patch für jeden Zweig zu finden.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
Ausnutzung
- CISA SSVC: Exploitation none, automatable no.
- Nicht im CISA KEV-Katalog aufgeführt; EPSS unter 1%.
- Kein öffentlicher Proof-of-Concept gefunden.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Den fixen Service-Bus-Patch für jeden Zweig im Oracle-Advisory vom Oktober 2026 bestätigen und zusammen mit den übrigen Service-Bus-CVEs desselben CPU einspielen.
- Prüfen, ob Oracle Service Bus überhaupt eingesetzt wird und ob Konsole oder Dienste aus dem Internet erreichbar sind.
- Bis zum Patch den HTTP-Zugriff auf benötigte interne Quellen beschränken und Konten mit niedrigen Berechtigungen überprüfen.
- Logs auf ungewöhnliche HTTP-Zugriffe auf Service Bus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- NVD record via Vulners: CVE-2026-87364 vulners.com
- OpenCVE: CVE-2026-87364 app.opencve.io
- CIRCL via Vulners: CVE-2026-87364 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:40.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.