Oracle JD Edwards EnterpriseOne Tools: Rechteausweitung über HTTP

Zusammenfassung

Ein Fehler in der Komponente Enterprise Infrastructure SEC von Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 erlaubt einem authentifizierten Benutzer mit niedrigen Rechten und Netzwerkzugriff über HTTP, das Produkt zu kompromittieren. Bei erfolgreichen Angriffen können kritische Daten unautorisiert erstellt, gelöscht oder verändert sowie unautorisiert gelesen werden. Gemäss CVSS-Vektor ist die Verfügbarkeit nicht betroffen.

Betroffen

• Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (Komponente Enterprise Infrastructure SEC)

Behoben in

• Oracle-Sicherheitspatch aus dem Critical Patch Update vom Oktober 2026 (Patch-Kennungen für 9.2.x: im Oracle-Advisory prüfen, hier nicht verifiziert)

Umgehung

• Unbekannt. Der CVE-Eintrag nennt keine Workaround-Massnahme des Herstellers.
• Allgemeine Härtung nur als Empfehlung (keine Herstellervorgabe): Zugriff auf die HTTP-Schnittstelle einschränken, VPN oder IP-Allowlisting einsetzen und Authentifizierung erzwingen.

Ausnutzung

• CISA KEV: nicht gelistet.
• EPSS: unter 1 % (sehr niedrig).
• Öffentlicher Proof of Concept: in der Recherche keiner gefunden, was eine Existenz nicht ausschliesst.
• CISA SSVC: keine Exploitation, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Das Oracle Critical Patch Update vom Oktober 2026 auf betroffenen JD Edwards EnterpriseOne Tools-Versionen einspielen.
• Prüfen, ob die HTTP-Schnittstelle aus dem Internet erreichbar ist; falls ja, hohe Priorität setzen.
• Netzwerkzugriff auf die Schnittstelle einschränken und Konten mit niedrigen Rechten prüfen, inklusive Konten ehemaliger Mitarbeitender.
• Prüfen, ob JD Edwards Orchestrator (CVE-2026-91299) installiert ist, und diesen bei Vorhandensein zuerst patchen.
• Logs auf ungewöhnliche Datenänderungen oder Löschungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory October 2026 www.oracle.com
• CVE-2026-91269 on OpenCVE app.opencve.io
• CVE-2026-91269 on Strix www.strix.ai
• Oracle October 2026 CPU overview (Brandefense) brandefense.io
• CVE-2026-91269 on Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:15.