Oracle JD Edwards EnterpriseOne Tools: Unzureichende Zugriffskontrolle in der Installationssicherheit
Zusammenfassung
Die Oracle-Produkte JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 enthalten einen Fehler in der Komponente Installation Security (CWE-284). Ein Angreifer mit bestehender Anmeldung an der Infrastruktur, auf der EnterpriseOne Tools läuft, kann das Produkt übernehmen, mit vollen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für einen erfolgreichen Angriff ist eine Benutzerinteraktion durch eine andere Person als den Angreifer nötig. Der CVSS-Basiswert beträgt 7.8 (hoch).
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5
Behoben in
Unbekannt. Prüfen Sie im Abschnitt JD Edwards des Oracle Critical Patch Update vom Oktober 2026 die gepatchten Builds.
Umgehung
Unbekannt, abgesehen vom Einspielen des Oracle-Patches. Die Einschränkung, wer sich an der EnterpriseOne-Infrastruktur anmelden darf, reduziert die Exponierung, ist aber keine dokumentierte Massnahme von Oracle.
Ausnutzung
- Nicht in der CISA-KEV-Liste.
- Kein öffentlicher Proof of Concept gefunden; nicht bestätigt, weder so noch anders.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- EPSS 0.00124 (sehr niedrige vorhergesagte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen Sie, ob Sie JD Edwards EnterpriseOne einsetzen und ob Ihre Version im betroffenen Bereich liegt.
- Spielen Sie das Oracle Critical Patch Update vom Oktober 2026 für JD Edwards EnterpriseOne Tools ein.
- Beschränken Sie die Anmeldung an den EnterpriseOne-Servern und deren Netzwerksegment auf die notwendigen Benutzer.
- Prüfen Sie die verwandten JD-Edwards-Einträge aus derselben Veröffentlichung (CVE-2026-91303, CVE-2026-91313 und CVE-2026-91311), die schwerwiegender sein können.
- Überwachen Sie ungewöhnliche Anmeldungen und Änderungen auf EnterpriseOne-Systemen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- OpenCVE: CVE-2026-91314 app.opencve.io
- Vulners: CVE-2026-91314 vulners.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
- Vulners: CVE-2026-91313 vulners.com
- Vulners: CVE-2026-91303 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.