Oracle SOA Suite: Unzureichende Zugriffskontrolle in der Adapters-Komponente
Zusammenfassung
Die Oracle SOA Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält in der Adapters-Komponente eine unzureichende Zugriffskontrolle, die mit CVSS 9.9 (kritisch) bewertet ist. Ein Angreifer mit einem Konto mit niedrigen Privilegien und Netzwerkzugriff via HTTP kann die SOA Suite ohne Benutzerinteraktion vollständig kompromittieren. Da der Scope verändert ist, kann die Kompromittierung auch verbundene Systeme und Ressourcen betreffen.
Betroffen
- Oracle SOA Suite 12.2.1.4.0
- Oracle SOA Suite 14.1.2.0.0
- Andere oder gepatchte Builds: Unbekannt.
Behoben in
- Die Korrektur ist im Critical Patch Update von Oracle vom Oktober 2026 enthalten (veröffentlicht am 20. Oktober 2026).
- Konkrete Patch-Nummer und korrigierter Build je Zweig: Unbekannt. Oracle-Advisory prüfen.
Umgehung
- Unbekannt. Der CVE-Eintrag nennt keinen Workaround des Herstellers.
- Bis zum Patch den Zugriff auf HTTP-Endpunkte und Admin-Konsolen der SOA Suite auf vertrauenswürdige Netze oder ein VPN beschränken (allgemeine Empfehlung, nicht vom Hersteller).
- SOA-Suite-Konten prüfen und nicht benötigte oder schwache Zugangsdaten entfernen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Nicht in der CISA-KEV-Liste aufgeführt.
- Bisher keine öffentlich verfügbaren Proof-of-Concepts oder Ausnutzung in freier Wildbahn gefunden. Die CVE ist erst etwa 10 Tage alt, daher ist dies kein bestätigtes Ausbleiben.
Unsere Empfehlung
1. Alle SOA-Suite-Instanzen inventarisieren und deren Versionen mit 12.2.1.4.0 und 14.1.2.0.0 vergleichen.
2. Das Critical Patch Update vom Oktober 2026 auf jeder betroffenen Instanz einspielen, nachdem der korrigierte Build im Oracle-Advisory bestätigt wurde.
3. Bis zum Abschluss des Patchens den HTTP- und Admin-Zugriff auf die SOA Suite einschränken und die SOA-Konten prüfen.
4. Logs auf unerwartete SOA-Anmeldungen oder Adapter-Aktivitäten prüfen.
5. CVE-2026-91231 (nicht authentifizierter Adapters-Fehler, CVSS 10.0) gleichzeitig patchen.
6. Falls keine SOA Suite im Einsatz ist, sind keine Massnahmen nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- OpenCVE record CVE-2026-91251 app.opencve.io
- Vulners record CVE-2026-91251 vulners.com
- Threat Frontier: Oracle October 2026 CPU, SOA Suite threatfrontier.com
- CVE Brief archive, 25 October 2026 cvebrief.com
- CSO Online: Oracle patches 1,295 security vulnerabilities in October www.csoonline.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.