Oracle JD Edwards EnterpriseOne Tools: Fehlende Authentifizierung in Interoperability SEC
Zusammenfassung
Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 enthalten eine Schwachstelle durch fehlende Authentifizierung (CWE-306) in der Komponente Interoperability SEC. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die SOAP-Schnittstelle kann sich unautorisierten Zugriff auf Daten verschaffen, die über JD Edwards EnterpriseOne Tools erreichbar sind, und der Scope Change kann weitere Produkte betreffen. Der CVSS-3.1-Basiswert beträgt 8.6 mit hoher Auswirkung nur auf die Vertraulichkeit; die NVD-Analyse ist noch ausstehend.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (Komponente: Interoperability SEC)
Behoben in
Unbekannt. Die behobene Version ist dem Oracle Critical Patch Update vom Oktober 2026 zu entnehmen.
Umgehung
Unbekannt. Der CVE-Eintrag nennt keinen Workaround.
- Netzwerkzugriff auf die SOAP-Endpunkte der Interoperabilität auf bekannte interne Clients beschränken (eigene Empfehlung, mit Oracle abzuklären).
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Alle JD Edwards EnterpriseOne Tools-Installationen bei Kunden erfassen und die genauen Versionen dokumentieren.
- Die behobene Version aus dem Oracle CPU vom Oktober 2026 einspielen, zusammen mit den übrigen JDE-EnterpriseOne-Tools-Korrekturen aus demselben CPU.
- Bis zum Patch den Zugriff auf die SOAP-Dienste der Interoperabilität einschränken und sicherstellen, dass sie nicht aus dem Internet erreichbar sind.
- NVD und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE CVE-2026-91267 app.opencve.io
- Vulners CVE-2026-91267 vulners.com
- Strix CVE-2026-91267 www.strix.ai
- Vulners CVE-2026-91309 vulners.com
- Vulners CVE-2026-87314 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.