Oracle JD Edwards EnterpriseOne Tools: Kompromittierung über angrenzendes Netzwerk
Zusammenfassung
Eine Schwachstelle in der Komponente Monitoring and Diagnostics SEC von Oracle JD Edwards EnterpriseOne Tools erlaubt einem nicht authentifizierten Angreifer mit Zugriff auf das Netzwerksegment des betroffenen Hosts, das Produkt zu kompromittieren. Bei erfolgreicher Ausnutzung kann es zu unautorisiertem Lesezugriff auf kritische Daten und eingeschränkter unautorisierter Änderung von Daten kommen, und durch die Scope-Änderung kann die Auswirkung über die Tools-Komponente hinausreichen. Der CVSS-Basiswert beträgt 8.2; für den Angriff sind keine Authentifizierung und keine Benutzerinteraktion nötig, wohl aber Zugriff auf das angrenzende Netzwerk.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (inklusive)
- Komponente: Monitoring and Diagnostics SEC
Behoben in
Unbekannt. Details zu den Patches finden sich im Oracle Critical Patch Update vom Oktober 2026.
Umgehung
Unbekannt. Der CVE-Eintrag nennt keinen Workaround des Herstellers.
- Generische Massnahme (nicht vom Hersteller bestätigt): Geräte, die sich das Netzwerksegment mit JD Edwards Tools-Hosts teilen, einschränken und dieses Segment von Büro-, Gast- und IoT-Netzwerken trennen.
Ausnutzung
- Angriffsvektor: angrenzendes Netzwerk (AV:A); nicht aus dem Internet erreichbar.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- EPSS sehr niedrig (unter 1%).
- Kein öffentlicher Proof of Concept und keine bekannte Ausnutzung in einer begrenzten Recherche gefunden; laut einem Spiegel nicht im CISA KEV-Katalog, nicht direkt geprüft.
Unsere Empfehlung
- Prüfen, ob JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 im Einsatz ist.
- Das Oracle Critical Patch Update vom Oktober 2026 einspielen, sobald die Patch-Details bestätigt sind.
- Einschränken, welche Geräte das Segment mit Tools-Hosts teilen, und dieses Segment isolieren.
- Administrativen Zugriff auf die Hosts einschränken und auf unerwartete Zugriffe aus dem lokalen Segment überwachen.
- Die anderen JD Edwards Tools-Schwachstellen vom Oktober 2026 mit HTTP-Zugriff priorisieren, falls der Web-Tier aus dem Internet erreichbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE CVE-2026-91286 app.opencve.io
- Vulners CVE-2026-91286 vulners.com
- Strix CVE-2026-91286 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.