Oracle BPM Suite: Unzureichende Zugriffskontrolle in Fabric Layer
Zusammenfassung
Oracle Business Process Management Suite (Teil von Oracle Fusion Middleware, Komponente Fabric Layer) in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff über HTTP kann kritische Daten erstellen, ändern oder löschen sowie auf Daten zugreifen, die das Produkt erreichen kann, wobei sich die Auswirkungen auch auf andere Produkte erstrecken können (Scope Change). Der CVSS-3.1-Basiswert beträgt 9.6 (kritisch). Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Oracle Business Process Management Suite 12.2.1.4.0
- Oracle Business Process Management Suite 14.1.2.0.0
Behoben in
- Die Korrektur ist im Oracle Critical Patch Update vom Oktober 2026 enthalten (veröffentlicht am 20. Oktober 2026).
- Patch-Nummer und korrigierte Version: Unbekannt. Prüfen Sie das Oracle-Advisory und My Oracle Support.
Umgehung
- Unbekannt. Kein von Oracle bestätigter Workaround.
- Allgemeine Härtung: Den HTTP-Zugriff auf BPM Suite auf vertrauenswürdige IP-Bereiche oder VPNs beschränken und sicherstellen, dass nur authentifizierte Benutzer die Endpunkte der Fabric Layer erreichen.
- BPM-Benutzerkonten und die Selbstregistrierung überprüfen.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist bis zum 21. Oktober 2026 nicht bekannt.
- Die Schwachstelle ist bis zum 21. Oktober 2026 nicht im CISA-KEV-Katalog enthalten.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies wurde nicht vertieft geprüft.
Unsere Empfehlung
- Prüfen Sie, ob Oracle BPM Suite 12.2.1.4.0 oder 14.1.2.0.0 im Einsatz ist.
- Falls ja, spielen Sie das Oracle Critical Patch Update vom Oktober 2026 ein.
- Stellen Sie sicher, dass die BPM-Endpunkte nicht direkt aus dem Internet erreichbar sind.
- Prüfen Sie die Logs auf unerwartete HTTP-Anfragen an die Endpunkte der Fabric Layer.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91243 app.opencve.io
- Vulners: CVE-2026-91243 vulners.com
- Vulners: Oracle CPU October 2026 matrix vulners.com
- Strix: CVE-2026-91243 www.strix.ai
- Vulners: CNNVD-2026-26403494 vulners.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- SecurityOnline: Oracle Fusion Middleware vulnerabilities October 2026 securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.