Oracle JD Edwards EnterpriseOne Tools: Rechteausweitung in Installation Security
Zusammenfassung
Eine Schwachstelle in der Komponente Installation Security von Oracle JD Edwards EnterpriseOne Tools erlaubt einem Benutzer mit niedrigen Rechten, der sich am Server anmelden kann, die Übernahme der EnterpriseOne-Tools-Installation. Ein erfolgreicher Angriff betrifft Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1 7.8). Der Angriff setzt eine lokale Anmeldung an der Infrastruktur voraus und ist nicht ohne Authentifizierung erreichbar.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5
Behoben in
- Unbekannt. Installieren Sie den Sicherheitspatch für JD Edwards EnterpriseOne Tools aus dem Critical Patch Update vom Oktober 2026. Bestätigen Sie die gepatchte Version im Oracle-Advisory (Abschnitt JD Edwards) oder in My Oracle Support.
Umgehung
- Unbekannt. In den Quellen ist kein Workaround dokumentiert. Beschränken Sie bis zur Installation des Patches die interaktive Anmeldung auf die Server mit EnterpriseOne Tools auf die notwendigen Administratoren.
Ausnutzung
- Keine Ausnutzung bekannt. Oracle meldet für die CVEs des Critical Patch Update vom Oktober 2026 keine Ausnutzung, und es wurde kein öffentlicher Proof of Concept gefunden. CISA SSVC bewertet die Ausnutzung als keine und die Automatisierbarkeit als nein.
Unsere Empfehlung
- Prüfen Sie, ob EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 im Einsatz ist.
- Spielen Sie den Patch für JD Edwards EnterpriseOne Tools aus dem Critical Patch Update vom Oktober 2026 im regulären Patch-Zyklus ein.
- Beschränken Sie die Serveranmeldung auf JD-Edwards-Hosts auf Administratoren und entfernen Sie nicht benötigte Konten mit Anmelderechten.
- Prüfen Sie die weiteren CVEs im selben CPU, insbesondere CVE-2026-91299 (CVSS 10.0, Orchestrator), und patchen Sie diese vorrangig, falls betroffen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE: CVE-2026-91306 app.opencve.io
- Vulners: CVE-2026-91306 vulners.com
- Strix: CVE-2026-91306 www.strix.ai
- Brandefense: Oracle October 2026 CPU summary brandefense.io
- Tenable: Oracle October 2026 CPU summary www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.