Oracle JD Edwards EnterpriseOne Tools: Kompromittierung über HTTP in Monitoring and Diagnostics
Zusammenfassung
Eine Schwachstelle in der Komponente Monitoring and Diagnostics SEC von Oracle JD Edwards EnterpriseOne Tools, Versionen 9.2.0.0 bis 9.2.26.5, kann über HTTP ausgenutzt werden. Ein Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff kann das Produkt übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 8.8). Laut Eintrag ist keine Benutzerinteraktion erforderlich. Oracle hat die Korrektur im Critical Patch Update vom Oktober 2026 veröffentlicht.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5
- Komponente: Monitoring and Diagnostics SEC
Behoben in
- Behoben im Critical Patch Update vom Oktober 2026 von Oracle. Konkrete Patch-Nummern: Unbekannt.
Umgehung
- Unbekannt aus der offiziellen Oracle-Warnung. Drittquellen empfehlen, den HTTP-Zugriff auf die Funktionen Monitoring and Diagnostics mit Firewallregeln oder VPNs einzuschränken und die Anmelderechte auf den Servern mit den Tools zu begrenzen.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden; die Suche war eingeschränkt.
Unsere Empfehlung
- Prüfen, ob JD Edwards EnterpriseOne Tools 9.2.x eingesetzt wird.
- Das Oracle Critical Patch Update vom Oktober 2026 auf betroffenen Installationen einspielen; Systeme mit Erreichbarkeit ausserhalb des internen Netzwerks priorisieren.
- Den HTTP-Zugriff auf die Tools auf vertrauenswürdige Netzwerke beschränken und Benutzerkonten mit gültigen Anmeldedaten überprüfen.
- Prüfen, ob JD Edwards EnterpriseOne Orchestrator eingesetzt wird, da CVE-2026-91299 eine separate kritische Schwachstelle in diesem Produkt ist.
- Webserver-Logs auf ungewöhnliche HTTP-Anfragen an die Tools überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert / CPU October 2026 www.oracle.com
- OpenCVE: CVE-2026-91270 app.opencve.io
- Vulners: CVE-2026-91270 vulners.com
- Strix: CVE-2026-91270 www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.