Oracle JD Edwards EnterpriseOne Tools: Unzureichende Zugriffskontrolle
Zusammenfassung
Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 enthalten eine Schwachstelle in der Komponente Enterprise Infrastructure SEC. Ein nicht authentifizierter Angreifer im physischen Netzwerksegment, das mit dem Host geteilt wird, kann ohne Benutzerinteraktion kritische Daten erstellen, löschen oder ändern und auf Daten zugreifen, die über die Tools erreichbar sind. Der Angriff erfordert Zugang zum lokalen Netzwerksegment, nicht zum Internet.
Betroffen
- JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (unterstützte Versionen gemäss CVE-Eintrag)
Behoben in
Unbekannt. Die Liste der Patches für JD Edwards aus dem Critical Patch Update vom Oktober 2026 über My Oracle Support (MOS) beziehen und den Fix für diese CVE einspielen.
Umgehung
- Unbekannt. Der CVE-Eintrag enthält keinen Workaround.
- Einschränken, welche Systeme und Benutzer das Netzwerksegment mit den Tools-Servern teilen, mittels VLAN- oder Firewall-Regeln.
Ausnutzung
- Gemäss OpenCVE nicht im KEV-Katalog der CISA aufgeführt.
- EPSS liegt bei etwa 0.24%.
- Kein öffentlicher Proof-of-Concept und keine Ausnutzung in freier Wildbahn gefunden. Das ist ein Mangel an Befunden, keine Bestätigung, dass keine existiert.
Unsere Empfehlung
- Prüfen, ob JD Edwards EnterpriseOne Tools 9.2.x im Einsatz ist und welche genaue Version installiert ist.
- Falls ja, den Fix des CPU vom Oktober 2026 einspielen, der diese CVE und CVE-2025-15467 (OpenSSL, in den Tools mit 9.8 bewertet) abdeckt.
- Bis zur Behebung sicherstellen, dass die Tools-Server nicht aus dem Gast-WLAN, aus IoT-Netzen oder anderen nicht vertrauenswürdigen Segmenten erreichbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- NVD record via Vulners CVE-2026-91287 vulners.com
- OpenCVE CVE-2026-91287 app.opencve.io
- Strix CVE-2026-91287 www.strix.ai
- Oracle JD Edwards blog on August 2026 CPU (MOS patch lists) blogs.oracle.com
- HivePro October 2026 CPU threat advisory www.hivepro.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.