Oracle SOA Suite: Rechteerweiterung in Fabric Layer über HTTP
Zusammenfassung
Die Oracle SOA Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine Schwachstelle in der Komponente Fabric Layer. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist eine Authentifizierung erforderlich, daher hängt das Risiko davon ab, wie viele Konten die betroffenen Endpunkte erreichen können.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
- Den Oracle Security Patch für SOA Suite aus dem Critical Patch Update vom Oktober 2026 einspielen.
- Genaue Patch-Kennungen pro Release: Unbekannt. Die Tabelle zur SOA Suite im Oracle-Advisory oder My Oracle Support prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Provisorische Härtung bis zum Patch: Externer HTTP-Zugriff auf das Frontend der SOA Suite mittels Firewall-Regeln oder Netzwerkisolation einschränken (generische Empfehlung, von Oracle für diese CVE nicht bestätigt).
Ausnutzung
- Ausnutzung in freier Wildbahn: Keine Hinweise gefunden; laut CISA KEV-Katalog am 21. Oktober 2026 nicht gelistet.
- Öffentlicher Proof of Concept: Keiner gefunden.
- EPSS: 0.00447 (niedrig).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Oracle SOA Suite installiert ist und ob deren HTTP-Endpunkte aus dem Internet oder von einem breiten internen Benutzerkreis erreichbar sind.
- Zugriff auf die Endpunkte der SOA Suite jetzt als provisorische Härtung einschränken.
- Den Oracle-Patch vom Oktober 2026 für die SOA Suite im selben Zeitfenster wie die weiteren höher bewerteten SOA-Suite-Fixes (CVE-2026-91216, CVE-2026-91231) einspielen.
- Konten der SOA Suite prüfen und nicht benötigte Zugriffe mit niedrigen Berechtigungen entfernen.
- Logs der SOA Suite auf ungewöhnliche HTTP-Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE CVE-2026-91215 app.opencve.io
- Strix CVE-2026-91215 www.strix.ai
- Vulners NVD CVE-2026-91215 vulners.com
- Brandefense Oracle October 2026 CPU brandefense.io
- SecurityOnline Oracle October 2026 CPU securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:36.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.