Oracle SOA Suite: Fehlende Authentifizierung im Fabric Layer
Zusammenfassung
Oracle SOA Suite (Komponente Fabric Layer) in den Versionen 12.2.1.4.0 und 14.1.2.0.0 ist betroffen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff via HTTP kann das Produkt kompromittieren, und die Auswirkungen können sich auf andere Produkte ausweiten (Scope Change). Der CVSS-Wert von 8.6 bezieht sich nur auf die Vertraulichkeit; die Formulierung im Eintrag zum vollständigen Zugriff überzeichnet die bewertete Auswirkung.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026.
- Patch-Nummern pro Version: Unbekannt. Siehe Oracle-Advisory.
Umgehung
Unbekannt. Der CVE-Eintrag nennt keine Workaround-Massnahme des Herstellers.
- Allgemeine Härtungsmassnahme, kein Workaround des Herstellers: HTTP-Zugriff auf Fabric-Layer-Endpunkte auf vertrauenswürdige Netze beschränken.
Ausnutzung
- In den Risikomatrizen von Oracle nicht als in freier Wildbahn ausgenutzt markiert.
- Seit dem 21. Okt. 2026 nicht im CISA-KEV-Katalog.
- Öffentlicher Proof of Concept: Unbekannt.
- EPSS 0.00398 zum Zeitpunkt der Momentaufnahme (niedrig).
Unsere Empfehlung
- Alle Installationen von SOA Suite 12.2.1.4.0 und 14.1.2.0.0 inventarisieren.
- Das Oracle CPU vom Oktober 2026 auf allen installieren, einschliesslich der übrigen Fabric-Layer-Schwachstellen.
- Sicherstellen, dass kein Fabric-Layer-HTTP- oder T3/IIOP-Endpunkt aus dem Internet erreichbar ist; andernfalls auf vertrauenswürdige Netze beschränken.
- HTTP-Logs auf auffällige Zugriffe auf Fabric-Layer-Endpunkte prüfen.
- Aktuellen Status und CWE-Zuordnung im NVD prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-91217 app.opencve.io
- Oracle EBS blog: October 2026 CPU blogs.oracle.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- Breach-Signal: Oracle October 2026 CPU breach-signal.com
- ThreatFrontier: Oracle October 2026 CPU threatfrontier.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.