Oracle Service Bus: Schwachstelle ermöglicht Übernahme über HTTP
Zusammenfassung
Oracle Service Bus in den Versionen 12.2.1.4.0 und 14.1.2.0.0, einer Komponente von Oracle Fusion Middleware, ist von einer Schwachstelle in der Komponente Core betroffen. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann die Schwachstelle mit geringer Komplexität ausnutzen und Oracle Service Bus übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVSS-Vektor setzt ein Konto mit niedrigen Berechtigungen voraus, während die CWE-Klassifikation CWE-306 (Missing Authentication) lautet; deshalb sollte die Risikomatrix von Oracle geprüft werden, ob eine Authentifizierung tatsächlich erforderlich ist.
Betroffen
- Oracle Service Bus 12.2.1.4.0
- Oracle Service Bus 14.1.2.0.0
Behoben in
- Unbekannt. Die korrigierten Versionen aus dem Oracle Critical Patch Update vom Oktober 2026 (Tabelle Patch Availability) entnehmen und nicht ableiten.
Umgehung
- Unbekannt. Es wurde kein vom Hersteller dokumentierter Zwischenschutz gefunden.
- Den HTTP-Zugriff auf Service-Bus-Konsolen und -Dienste auf vertrauenswürdige interne Netze oder VPN beschränken.
- Konten mit Anmeldemöglichkeit überprüfen und reduzieren.
- Service-Bus- und WebLogic-Protokolle auf ungewöhnliche Administrations- oder Konfigurationsaktivitäten überwachen.
Ausnutzung
- Nicht im Katalog KEV der CISA aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- EPSS: 0.00389.
- Im begrenzten Rechercheumfang wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Oracle Service Bus 12.2.1.4.0 oder 14.1.2.0.0 im Einsatz ist, auch in Test- und Altumgebungen.
- Die Patches des Critical Patch Update vom Oktober 2026 mit den korrigierten Versionen aus der aktuellen Oracle-Veröffentlichung einspielen (zuvor die aktuelle Revision prüfen).
- Bis zur Korrektur sicherstellen, dass HTTP-Endpunkte nicht aus dem Internet erreichbar sind und nur vertrauenswürdige Konten sich anmelden können.
- NVD, den KEV-Katalog der CISA und die Oracle-Veröffentlichung auf Änderungen des Ausnutzungsstatus prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update, October 2026 www.oracle.com
- Oracle October 2026 CPU release blog blogs.oracle.com
- CVE-2026-87419 on OpenCVE app.opencve.io
- CVE-2026-87419 on Vulners (NVD) vulners.com
- CVE-2026-87419 on Strix www.strix.ai
- Oracle October 2026 CPU on Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.