Oracle Business Process Management Suite: Autorisierungsschwäche in Human Workflow
Zusammenfassung
Die Oracle Business Process Management (BPM) Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine Schwachstelle in der Komponente Human Workflow, die über SOAP erreichbar ist. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff kann das Produkt ohne Benutzerinteraktion übernehmen. Aufgrund einer Scope-Änderung können Angriffe zusätzlich weitere Produkte erheblich beeinträchtigen. Die NVD-Analyse ist noch ausstehend, der CVSS-Basiswert beträgt 9.9 (kritisch).
Betroffen
- Oracle Business Process Management Suite 12.2.1.4.0
- Oracle Business Process Management Suite 14.1.2.0.0
- Komponente: Human Workflow (11g+)
Behoben in
Unbekannt. Die Korrektur wird im Critical Patch Update vom Oktober 2026 erwartet; die Patch-ID ist nicht bestätigt.
Umgehung
- Weder der CVE-Eintrag noch Oracle nennen eine Umgehungsmassnahme.
- Drittanbieter-Empfehlung (nicht von Oracle): SOAP-Zugriff auf vertrauenswürdige Netze beschränken, Authentifizierung und Autorisierung für SOAP-Operationen erzwingen, nicht benötigte Dienste deaktivieren und SOAP-Logs überwachen, als vorübergehende Massnahme bis zur Installation des Patches.
Ausnutzung
- Keine bekannte Ausnutzung (nicht im CISA-KEV-Katalog).
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Oracle BPM Suite 12.2.1.4.0 oder 14.1.2.0.0 im Einsatz ist, auch bei Kunden.
- Das Critical Patch Update vom Oktober 2026 gemäss Oracle-Advisory einspielen, sobald die Patch-ID bestätigt ist.
- Bis zur Korrektur SOAP- und Remoting-Endpunkte auf vertrauenswürdige Netze beschränken und Konten mit niedrigen Berechtigungen überprüfen.
- Oracle, NVD und CISA KEV auf Aktualisierungen überwachen, da die CVE noch in Analyse ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE: CVE-2026-91222 app.opencve.io
- VulnERS NVD record CVE-2026-91222 vulners.com
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
- Oracle Business Process Management Suite product search vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.