Oracle JD Edwards EnterpriseOne Tools: Fehlende Authentifizierung ermöglicht Übernahme
Zusammenfassung
Die Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 sind von einer Schwachstelle in der Komponente Enterprise Infrastructure SEC betroffen. Ein Angreifer mit Netzwerkzugriff über HTTP und einem Konto mit niedrigen Berechtigungen kann das Produkt kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 8.8). Es ist keine Benutzerinteraktion erforderlich. Der NVD-Eintrag führt CWE-306 (fehlende Authentifizierung) auf, die genauen Voraussetzungen müssen noch anhand der Herstellerinformationen von Oracle bestätigt werden.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (Komponente: Enterprise Infrastructure SEC)
Behoben in
- Unbekannt. Erwartet im Critical Patch Update von Oracle vom Oktober 2026 (20. Oktober 2026); der konkrete Patch oder das Release ist nicht bestätigt.
Umgehung
- Unbekannt. Im CVE-Eintrag ist kein Workaround dokumentiert.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS unter 1 % (sehr tief).
- CISA-SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den konsultierten Quellen wurden keine öffentlichen Proof-of-Concept-Exploits oder Ausnutzung in freier Wildbahn gefunden; dies beweist jedoch nicht, dass keine existieren.
Unsere Empfehlung
- Die betroffene Tools-Version und den Patch im Oracle-CPU-Advisory vom Oktober 2026 prüfen und so rasch wie möglich einspielen.
- Prüfen, ob ein HTTP-Zugang zu EnterpriseOne aus dem Internet erreichbar ist, und diesen bei Bedarf einschränken.
- Konten mit niedrigen Berechtigungen überprüfen und den HTTP-Bereich bis zur Behebung auf ungewöhnliche Aktivitäten überwachen.
- CISA KEV und NVD erneut prüfen, da die Analyse im NVD noch lief.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- Vulners CVE-2026-91295 vulners.com
- OpenCVE CVE-2026-91295 app.opencve.io
- Strix CVE-2026-91295 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.