Oracle JD Edwards EnterpriseOne Tools: Unauthentifizierter Zugriff über HTTP (Object and Env Tech SEC)
Zusammenfassung
Eine Schwachstelle in der Komponente Object and Env Tech SEC von Oracle JD Edwards EnterpriseOne Tools erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff über HTTP, das Produkt zu kompromittieren. Da sich der Scope ändert, können auch weitere verbundene Produkte erheblich betroffen sein. Ein erfolgreicher Angriff kann zu unberechtigtem Zugriff auf kritische Daten oder zum Zugriff auf alle Daten führen, die von JD Edwards EnterpriseOne Tools erreichbar sind; der CVSS-Basiswert beträgt 8.6 (Hoch) mit einer hohen Auswirkung auf die Vertraulichkeit. Es ist weder eine Benutzerinteraktion noch eine Anmeldung erforderlich.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools, Versionen 9.2.0.0 bis 9.2.26.5
Behoben in
- Unbekannt. Die Korrektur ist im Critical Patch Update von Oracle vom Oktober 2026 enthalten; die genaue gepatchte Version ist nicht bestätigt.
Umgehung
- Unbekannt. Der CVE-Eintrag nennt keinen Workaround. Die Einschränkung des Netzwerkzugriffs auf die HTTP-Endpunkte von EnterpriseOne (Allow-Lists, VPN oder Reverse Proxy) ist eine sinnvolle Zwischenmassnahme, wird von Oracle jedoch nicht bestätigt.
Ausnutzung
- CISA KEV: nicht gelistet.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn zum Zeitpunkt der Recherche gefunden; nicht gegen Hersteller- oder Forscherquellen verifiziert.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Prüfen Sie, ob der Web-Tier von EnterpriseOne (HTTP/HTTPS) aus dem Internet oder aus Partnernetzen erreichbar ist; falls ja, hat dies höchste Priorität.
- Beziehen Sie den genauen Patch aus dem Oracle-Advisory zum Critical Patch Update vom Oktober 2026 und spielen Sie ihn auf alle betroffenen EnterpriseOne-Tools-9.2-Systeme ein.
- Beschränken Sie bis zum Patch den Zugriff auf die HTTP-Endpunkte von EnterpriseOne auf die nötigen Hosts.
- Überwachen Sie Veröffentlichungen eines öffentlichen Proof of Concept oder einen KEV-Eintrag und prüfen Sie die Logs des Web-Tiers auf ungewöhnliche unauthentifizierte Anfragen.
- Bestätigen Sie den NVD-Eintrag sowie allfällige Updates von CISA oder NCSC.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91273 app.opencve.io
- Vulners: CVE-2026-91273 vulners.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.