Oracle SOA Suite: Unzureichende Zugriffskontrolle im Fabric Layer erlaubt Übernahme
Zusammenfassung
Oracle SOA Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine unzureichende Zugriffskontrolle (CWE-284) in der Komponente Fabric Layer. Ein entfernter Angreifer mit Netzwerkzugriff über HTTP und einem Konto mit niedrigen Berechtigungen kann das Produkt kompromittieren, wobei ein Scope Change auch andere Produkte betreffen kann. Der Hersteller beschreibt einen erfolgreichen Angriff als Übernahme von Oracle SOA Suite, der CVSS-Basiswert beträgt 9.9 (kritisch).
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
- Unbekannt. Die Patch-Nummern stehen auf der Oracle Critical Patch Update-Seite für Oktober 2026.
Umgehung
- Unbekannt von Oracle.
- Generische Empfehlung (nicht von Oracle verifiziert): HTTP-Zugriff auf SOA Suite auf vertrauenswürdige IP-Bereiche oder VPN beschränken.
Ausnutzung
- Keine bekannte Ausnutzung; CISA SSVC weist die Ausnutzung als none aus.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- Automatisierbar: nein (CISA SSVC).
Unsere Empfehlung
- Prüfen, ob SOA Suite 12.2.1.4.0 oder 14.1.2.0.0 eingesetzt wird und wo deren HTTP-Endpunkte erreichbar sind.
- Den Patch aus dem Oracle Critical Patch Update vom Oktober 2026 beziehen und einspielen.
- Zugriff auf HTTP-Endpunkte des Fabric Layer auf vertrauenswürdige Hosts und VPN beschränken sowie Konten mit niedrigen Berechtigungen überprüfen.
- Auf eine Aufnahme in den KEV-Katalog und neue öffentliche Exploits achten sowie den NVD-Eintrag erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE: CVE-2026-91232 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.