Oracle Outside In Technology: Unauthentifizierter Netzwerkzugriff über HTTP (CVE-2026-87394)
Zusammenfassung
Oracle Outside In Technology 8.5.8, eine Bibliothek zum Extrahieren, Konvertieren und Anzeigen von Dokumenten, die in Oracle Fusion Middleware verwendet wird, ist betroffen. Ein entfernter, nicht authentifizierter Angreifer mit HTTP-Netzwerkzugriff kann das Produkt kompromittieren, was zu unautorisiertem Zugriff auf kritische Daten und einem partiellen Denial of Service führen kann. Die Ausnutzung gilt als einfach und erfordert keine Benutzerinteraktion, der CVSS-Basiswert beträgt jedoch 8.2, und zum Zeitpunkt der Erstellung wurde weder ein öffentlicher Proof of Concept noch ein Eintrag im KEV-Katalog gefunden.
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente: Outside In Core)
- Andere Versionen: Unbekannt.
Behoben in
Unbekannt. Die behobene Version ist im Sicherheitsupdate Oracle Critical Patch Update Oktober 2026 zu prüfen.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Die Exposition reduzieren, indem der Netzwerkzugriff auf betroffene Dienste eingeschränkt und begrenzt wird, wer Dateien an diese übermitteln kann.
Ausnutzung
- CVSS 3.1: 8.2 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L)
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- Nicht im CISA-KEV-Katalog gelistet.
- EPSS 0.00425 (niedrig, Momentaufnahme eines Aggregators).
- Öffentlicher Proof of Concept: keiner gefunden; dies schliesst die Existenz eines solchen nicht aus.
Unsere Empfehlung
- Prüfen, ob Software in Ihrer Umgebung Outside In 8.5.8 einbettet, insbesondere Upload-, Vorschau-, Konvertierungs- oder Indexierungsfunktionen.
- Bei Softwareherstellern den Patch-Status erfragen und den Oracle-Fix sobald verfügbar einspielen, zuerst bei Internet-exponierten Systemen.
- Bis zur Behebung den Netzwerkzugriff und den Kreis der Personen, die Dateien an betroffene Dienste übermitteln können, einschränken.
- KEV-Eintrag und öffentliche Exploits weiterhin überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- CVE record summary (OpenCVE) app.opencve.io
- CVE summary and CVSS (Strix) www.strix.ai
- Scores, EPSS and reporter (Vulners) vulners.com
- Product overview (Oracle) docs.oracle.com
- Product datasheet (Oracle) www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.