Oracle JD Edwards EnterpriseOne Tools: Schwachstelle bei Zugriffskontrolle in Web Runtime SEC

Zusammenfassung

Eine Schwachstelle in der Komponente Web Runtime SEC von Oracle JD Edwards EnterpriseOne Tools betrifft die unterstützten Versionen 9.2.0.0 bis 9.2.26.5. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion nötig. Die Schwachstelle wird unter CWE-284 (Improper Access Control) eingeordnet, die Analyse durch die NVD steht noch aus.

Betroffen

• Oracle JD Edwards EnterpriseOne Tools, unterstützte Versionen 9.2.0.0 bis 9.2.26.5
• Komponente: Web Runtime SEC
• CVSS 3.1: 8.8 (Hoch), CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Behoben in

Unbekannt. Prüfen Sie den Abschnitt JD Edwards im Oracle Critical Patch Update vom Oktober 2026 und den entsprechenden Tools-Patch in My Oracle Support auf die genaue korrigierte Version für Ihren 9.2-Tools-Stand.

Umgehung

Unbekannt. Ein von Oracle bestätigter Workaround liegt nicht vor. Eine Drittquelle empfiehlt, eingehenden HTTP/HTTPS-Verkehr zur Komponente Web Runtime SEC bis zum Patch auf vertrauenswürdige IP-Bereiche zu beschränken und detaillierte Protokollierung mit Überwachung zu aktivieren. Dies ist allgemeine Empfehlung und keine Oracle-Anleitung.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn gefunden.
• Gemäss OpenCVE nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof-of-Concept gefunden; dies wurde nicht erschöpfend geprüft.
• EPSS-Wert von 0.00328 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Prüfen Sie, ob JD Edwards EnterpriseOne Tools 9.2 eingesetzt wird und ob dessen Web-Schicht aus dem Internet oder aus breiten Partner- oder VPN-Netzen erreichbar ist.
• Installieren Sie die korrigierte Tools-Version aus dem Oracle CPU vom Oktober 2026, sobald sie bestätigt ist; priorisieren Sie aus dem Internet erreichbare Systeme.
• Beschränken Sie bis zum Patch den HTTP/HTTPS-Zugriff auf vertrauenswürdige Netze und aktivieren Sie detaillierte Protokollierung mit Überwachung.
• Priorisieren Sie CVE-2026-91299 (CVSS 10.0, JD Edwards EnterpriseOne Orchestrator) aus demselben Advisory.
• Überwachen Sie den CISA-KEV-Katalog und Oracle-Kanäle auf Berichte über Ausnutzung und prüfen Sie den NVD-Eintrag erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
• OpenCVE: CVE-2026-91268 app.opencve.io
• Strix: CVE-2026-91268 www.strix.ai
• Vulners: CVE-2026-91268 vulners.com
• eSecurityPlanet: Oracle October 2026 Critical Patch Update www.esecurityplanet.com
• Waratek: Oracle October 2026 Critical Patch Update waratek.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:33.