Oracle SOA Suite: Authentifizierungsumgehung in Enterprise Scheduling System
Zusammenfassung
Die Oracle SOA Suite, Komponente Enterprise Scheduling System, enthält eine kritische Schwachstelle, die es nicht authentifizierten Angreifern mit Netzwerkzugriff über SOAP erlaubt, das Produkt zu kompromittieren. Gemäss NVD-Beschreibung kann ein erfolgreicher Angriff zur Übernahme der Oracle SOA Suite führen. Der CVSS-Basiswert beträgt 9.8; es ist keine Benutzerinteraktion nötig und die Angriffskomplexität ist gering.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
Behoben in
- Behoben im Critical Patch Update von Oracle vom Oktober 2026 (CPU Oct 2026).
- Patchnummern pro Version: Unbekannt. Die Tabelle zur Patch-Verfügbarkeit für Fusion Middleware im Oracle-Advisory prüfen.
Umgehung
- Unbekannt. Es wurde nicht verifiziert, dass Oracle eine Workaround-Massnahme bereitstellt.
- Nicht verifizierte Übergangsmassnahme: Falls die Komponente Enterprise Scheduling System nicht benötigt wird, diese deaktivieren oder den Zugriff auf deren SOAP-Endpunkt mit strikten Authentifizierungs- und Autorisierungskontrollen einschränken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht in der CISA-KEV-Liste (gemäss OpenCVE). EPSS unter 1%.
- Bei begrenzten Recherchen wurde kein öffentlicher Proof-of-Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen, ob Oracle SOA Suite eingesetzt wird und ob der SOAP-Endpunkt des Enterprise Scheduling System aus dem Internet oder aus nicht vertrauenswürdigen internen Netzen erreichbar ist.
- Die Patches des Oracle CPU vom Oktober 2026 für SOA Suite 12.2.1.4.0 und 14.1.2.0.0 prioritär einspielen und die weiteren SOA-Suite-Korrekturen im selben CPU ebenfalls prüfen.
- Falls ein sofortiges Patchen nicht möglich ist, die Komponente deaktivieren oder den Netzwerkzugriff darauf einschränken.
- SOAP-Endpunkt-Logs auf unerwartete Anfragen überwachen und auf öffentlichen Exploit-Code achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- NVD data mirror (vulners) vulners.com
- OpenCVE CVE-2026-91233 app.opencve.io
- Oracle CPU October 2026 blog blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.