Oracle Business Process Management Suite: Authentifizierungsumgehung in BPM Composer
Zusammenfassung
Eine Schwachstelle in der Komponente BPM Composer der Oracle Business Process Management Suite, einem Produkt von Oracle Fusion Middleware, betrifft die Versionen 12.2.1.4.0 und 14.1.2.0.0. Ein Angreifer mit niedrigen Privilegien und Netzwerkzugriff über HTTP kann die Lücke mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme der betroffenen Oracle Business Process Management Suite führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Oracle Business Process Management Suite 12.2.1.4.0
- Oracle Business Process Management Suite 14.1.2.0.0
- Komponente: BPM Composer
Behoben in
Unbekannt. Die Patch-Stufe und die Patch-Nummer wurden nicht verifiziert. Diese sind dem Advisory der Oracle Critical Patch Update vom Oktober 2026 oder My Oracle Support zu entnehmen.
Umgehung
Unbekannt. Oracle hat im CVE-Eintrag keine Workaround veröffentlicht. Generische Härtung bis zur Patch-Installation: HTTP-Zugriff auf BPM Composer auf Administrationsnetze oder VPN beschränken und die rollenbasierte Zugriffskontrolle verschärfen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Im CISA-KEV-Katalog seit dem 21. Oktober 2026 nicht gelistet.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS-Score 0.00447.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob BPM Suite 12.2.1.4.0 oder 14.1.2.0.0 im Einsatz ist und ob BPM Composer installiert ist.
- Eine allfällige Internetexposition von BPM Composer sofort entfernen und den Zugriff auf Administrationsnetze oder VPN beschränken.
- BPM-Benutzerkonten und Rollen überprüfen und nicht benötigte Konten entfernen.
- Die genaue Patch-Nummer und die korrigierte Version dem Advisory der Oracle-CPU vom Oktober 2026 entnehmen, in einer Testumgebung prüfen und anschliessend einspielen.
- Alle weiteren BPM-Einträge der CPU vom Oktober 2026 prüfen, von denen einige höher bewertet sind.
- NVD und CISA KEV erneut prüfen, da der Eintrag neu ist und die CWE noch geprüft wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- Oracle Blog: October 2026 Critical Patch Update released blogs.oracle.com
- NVD mirror via Vulners: CVE-2026-91213 vulners.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- Strix: CVE-2026-91213 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:36.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.