Oracle Outside In Technology: Fernübernahme durch Verarbeitung manipulierter Dateien
Zusammenfassung
Oracle Outside In Technology, eine Sammlung von SDKs für Dateianzeige, Konvertierung und Textextraktion, die in andere Unternehmensanwendungen eingebettet wird, ist laut CVE-Eintrag in Version 8.5.8 betroffen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann manipulierte Inhalte über HTTP senden, und erfolgreiche Angriffe können zur Übernahme der Komponente führen. Die Ausnutzung erfordert, dass ein Benutzer eine Aktion ausführt, etwa das Öffnen oder Verarbeiten einer manipulierten Datei.
Betroffen
- Oracle Outside In Technology 8.5.8 (laut CNA-Eintrag von Oracle)
- Anwendungen, die Outside In 8.5.8 einbetten oder mitliefern (Versionen hängen vom Hersteller ab)
Behoben in
Unbekannt. Die behobene Version ist dem Security Alert von Oracle zum Critical Patch Update vom Oktober 2026 zu entnehmen (https://www.oracle.com/security-alerts/cpuoct2026.html).
Umgehung
- Im CVE-Eintrag ist keine Workaround-Massnahme dokumentiert.
- Bis zum Patch die HTTP-Exposition von Anwendungen, die Outside In einbetten, einschränken.
- Die Dateitypen, die diese Anwendungen verarbeiten, einschränken.
- Massnahmen mit Oracle oder dem Softwarehersteller abklären.
Ausnutzung
- Bekannte Ausnutzung: keine gefunden.
- Nicht im Katalog CISA KEV gelistet; EPSS sehr niedrig (unter 1 %).
- Öffentlicher Proof of Concept: nicht bekannt. Dies bestätigt nicht, dass keiner existiert.
- CISA SSVC: Automatable: no, Technical Impact: total.
Unsere Empfehlung
- Ermitteln Sie Anwendungen in Ihrer Umgebung, die Outside In verwenden, einschliesslich Produkten von Drittanbietern mit Dokumentenverarbeitung.
- Beschaffen Sie die behobene Version über das Oktober-2026-Advisory von Oracle oder beim Hersteller der einbettenden Anwendung.
- Spielen Sie Patches priorisiert auf internetexponierte und dateiverarbeitende Systeme ein und stellen Sie sicher, dass auch eingebettete Kopien aktualisiert werden.
- Überwachen Sie NVD und CISA KEV auf Änderungen, da der NVD-Status noch Awaiting Analysis war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert, Critical Patch Update October 2026 www.oracle.com
- OpenCVE: CVE-2026-87397 app.opencve.io
- VulnERS NVD record CVE-2026-87397 vulners.com
- Strix: CVE-2026-87397 www.strix.ai
- Oracle Outside In Technology downloads www.oracle.com
- Oracle Outside In supported file formats docs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.