Oracle Business Process Management Suite: Authentifizierungsumgehung in Human Workflow
Zusammenfassung
Die Oracle Business Process Management Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine Schwachstelle in der Komponente Human Workflow, die unauthentifizierten Zugriff erlaubt. Ein Angreifer mit Netzwerkzugriff via HTTP kann sie mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen. Eine erfolgreiche Ausnutzung kann zur Übernahme der BPM Suite führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 9.8, kritisch).
Betroffen
- Oracle Business Process Management Suite 12.2.1.4.0
- Oracle Business Process Management Suite 14.1.2.0.0
- Komponente: Human Workflow (CWE-287, CWE-306)
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026).
- Spezifische Patch-Nummer und behobene Version für jede betroffene Release: Unbekannt. Patch-Tabelle im Oracle-Advisory prüfen.
Umgehung
- Unbekannt. Oracle hat im CVE-Eintrag keine Workaround-Massnahme veröffentlicht.
- Übergangsmassnahme (eigene Empfehlung, nicht aus einer Herstellerquelle): HTTP-Zugriff auf BPM-Endpunkte bis zum Patch auf vertrauenswürdige Netze beschränken.
Ausnutzung
- Oracle meldet keine bekannte Ausnutzung.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht im CISA-KEV-Katalog per 21. Oktober 2026 gelistet.
- EPSS ca. 0.0045 (niedrig).
- Öffentlicher Proof of Concept: keiner gefunden.
Unsere Empfehlung
- Prüfen, ob BPM Suite 12.2.1.4.0 oder 14.1.2.0.0 eingesetzt wird und ob deren HTTP-Endpunkte aus dem Internet erreichbar sind.
- Das Oracle CPU vom Oktober 2026 inklusive Fusion-Middleware-Abhängigkeiten einspielen und die verwandten Schwachstellen CVE-2026-91222 und CVE-2026-91213 gemeinsam patchen.
- Bis zum Patch den Zugriff auf BPM-Endpunkte auf vertrauenswürdige Netze beschränken und Logs auf unerwartete HTTP-Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- OpenCVE - CVE-2026-91220 app.opencve.io
- Vulners - NVD:CVE-2026-91220 vulners.com
- Strix - CVE-2026-91220 www.strix.ai
- SecurityWeek - Oracle patches over 1200 vulnerabilities with October 2026 CPU www.securityweek.com
- Brandefense - Oracle October 2026 Critical Patch Update brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.