Oracle JD Edwards EnterpriseOne Tools: Rechteerweiterung in Installation Security
Zusammenfassung
Die Versionen 9.2.0.0 bis 9.2.26.5 von JD Edwards EnterpriseOne Tools sind von einer Schwachstelle in der Komponente Installation Security betroffen. Ein Angreifer mit lokalem Login auf der Infrastruktur, auf der das Produkt läuft, kann das Produkt kompromittieren, was Oracle als vollständige Übernahme einstuft, sofern eine andere Person als der Angreifer mit dem Angriff interagiert. Zum Zeitpunkt der Erstellung sind weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept bekannt.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (gemäss CNA-Eintrag)
- Fixierte Release-Nummern: Unbekannt. In der Oracle-Mitteilung prüfen.
Behoben in
- Unbekannt. Als Behebung wird das Oracle Critical Patch Update vom Oktober 2026 referenziert; das gepatchte Release ist in der Mitteilung zu bestätigen.
Umgehung
- Im CVE-Eintrag keine Massnahme dokumentiert.
- Übergangsmassnahme: Lokale Logons auf Hosts mit JD Edwards EnterpriseOne Tools einschränken und administrativen Zugriff bis zum Patch begrenzen.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt, nicht im CISA-KEV-Katalog.
- Öffentlicher Proof of Concept: keiner gefunden.
- Der Angriff erfordert lokalen Zugriff, geringe Komplexität, keine Berechtigungen und eine Benutzerinteraktion.
Unsere Empfehlung
- Prüfen, ob JD Edwards EnterpriseOne Tools installiert ist und auf welchen Hosts es läuft.
- Das Oracle Critical Patch Update vom Oktober 2026 einspielen und die gesamte JD-Edwards-Familie im selben Fenster patchen.
- Lokale Logons und administrativen Zugriff auf JD-Edwards-Hosts bis zum Patch einschränken.
- Ungewöhnliche Logons und Änderungen auf diesen Hosts überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE CVE-2026-91304 app.opencve.io
- VulnDB 423984 vuldb.com
- Vulners CVE-2026-91304 vulners.com
- Strix CVE-2026-91304 www.strix.ai
- Brandefense: Oracle October 2026 CPU brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.