Oracle SOA Suite: Fehlende Authentifizierung in Adapters-Komponente
Zusammenfassung
Oracle SOA Suite, Teil von Oracle Fusion Middleware, enthält eine Schwachstelle in der Adapters-Komponente. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff per HTTP kann Daten, die über SOA Suite zugänglich sind, erstellen, löschen oder ändern und einen Hänger oder wiederholbaren Absturz (Denial of Service) verursachen. Die NVD bewertet die Schwachstelle mit CVSS 9.1 (kritisch) und nennt CWE-306 und CWE-284. Das Risiko hängt davon ab, ob SOA-Suite-Endpunkte aus dem Netzwerk erreichbar sind.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
Unbekannt. Die Oracle Critical Patch Update (CPU) Ankündigung vom Oktober 2026 ist die Referenz, eine korrigierte Version oder Patchnummer wurde jedoch nicht verifiziert.
Umgehung
- Keine vom Hersteller bestätigte Massnahme bekannt.
- Allgemeine Option, falls ein Patch nicht möglich ist: Externen HTTP-Zugriff auf die Adapters-Endpunkte der SOA Suite blockieren und nur vertrauenswürdige interne Netzwerke zulassen. Die Wirkung auf diese CVE ist nicht verifiziert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn und nicht im CISA-KEV-Katalog gelistet (Stand 21. Oktober 2026).
- Kein öffentlicher Proof of Concept bekannt; diese Angaben könnten veraltet sein.
- EPSS unter 1% (OpenCVE).
- CISA SSVC: automatisierbar ja, Ausnutzung keine.
Unsere Empfehlung
- Prüfen, ob SOA-Suite-Endpunkte aus dem Internet oder aus unvertrauenswürdigen Netzwerken erreichbar sind, und exponierte Systeme dringend behandeln.
- Korrigierte Versionen aus der Oracle CPU Ankündigung vom Oktober 2026 beziehen und das vollständige SOA-Suite-Patchpaket einspielen, nicht nur für diese CVE.
- Bis zum Patch den HTTP-Zugriff auf Adapters-Endpunkte auf vertrauenswürdige interne Netzwerke beschränken.
- SOA-Suite-Protokolle auf unerwartete Anfragen, Datenänderungen und Dienstabstürze überwachen.
- Beachten, dass die Bewertungen je nach Quelle abweichen (NVD 9.1; VulDB 6.5) und sich der NVD-Status noch ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-91225 app.opencve.io
- VulDB CVE-2026-91225 vuldb.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- Breach Signal: Oracle October 2026 CPU breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.