Oracle Service Bus: Unzureichende Zugriffskontrolle ermöglicht Übernahme über HTTP
Zusammenfassung
Oracle Service Bus 14.1.2.0.0, die Integrationsmiddleware von Oracle Fusion Middleware, enthält im Core-Bereich eine Schwachstelle aufgrund unzureichender Zugriffskontrolle. Ein Angreifer mit Netzwerkzugriff per HTTP und einem Konto mit niedrigen Berechtigungen kann das Produkt kompromittieren, mit möglicher Übernahme und Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion erforderlich. Eine Ausnutzung ist nicht gemeldet, und es wurde kein öffentlicher Proof of Concept gefunden.
Betroffen
- Oracle Service Bus 14.1.2.0.0 (gemäss CVE-Eintrag)
- 12.2.1.4.0: nicht verifiziert, Oracle-Matrix des Oktober-2026-CPU prüfen
Behoben in
Unbekannt. Die Oracle Critical Patch Update Advisory für Oktober 2026 (Eintrag Service Bus) und My Oracle Support (Doc ID CPU289) prüfen.
Umgehung
- Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. In der Oracle-Advisory und in My Oracle Support bestätigen.
Ausnutzung
- Im Feld nicht gemeldet.
- Laut Stand 21. Oktober 2026 nicht im CISA KEV gelistet (nicht direkt überprüft).
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Oracle Service Bus 14.1.2.0.0 vorrangig patchen, sobald die korrigierte Version in der Oracle-Advisory bestätigt ist. Falls Service Bus im Einsatz und erreichbar ist, im nächsten Wartungsfenster patchen.
- Prüfen, ob Service Bus eingesetzt wird, auch über ERP- oder Integrationspartner, und ob 12.2.1.4.0 verwendet wird.
- Netzwerkzugriff auf HTTP-Endpunkte und Konsolen von Service Bus auf interne Netze oder VPN beschränken.
- Konten mit niedrigen Berechtigungen prüfen und nicht benötigte entfernen.
- Logs auf unerwartete Zugriffe prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- NVD record CVE-2026-87420 (Vulners) vulners.com
- OpenCVE CVE-2026-87420 app.opencve.io
- Strix CVE-2026-87420 www.strix.ai
- Oracle Security Blog: October 2026 CPU released blogs.oracle.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- eSecurityPlanet: Oracle October 2026 CPU www.esecurityplanet.com
- Breach-Signal: Oracle October 2026 CPU breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.