Oracle JD Edwards EnterpriseOne Tools: Unzureichende Zugriffskontrolle in Installation Security
Zusammenfassung
Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 enthalten eine unzureichende Zugriffskontrolle in der Komponente Installation Security. Ein Angreifer mit Anmeldezugriff auf die Infrastruktur, auf der die Tools laufen, kann die Anwendung kompromittieren, wobei eine zweite Person mit dem Angriff interagieren muss. Ein erfolgreicher Angriff kann zur vollständigen Übernahme der Tools führen (CVSS 3.1: 7.8, hoch). Der NVD-Eintrag befindet sich noch in der Analyse.
Betroffen
- JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5
Behoben in
Unbekannt. Die Oracle Critical Patch Update (CPU) vom Oktober 2026 einspielen und den korrekten Build im Abschnitt zu JD Edwards im Oracle-Advisory prüfen.
Umgehung
- Keine für diese CVE dokumentiert.
- Übergangsmassnahmen (nicht vom Hersteller vorgegeben): Anmeldung an JD Edwards-Servern auf benannte Administratoren beschränken, die Anzahl der Personen einschränken, die sich auf Hosts mit den Tools anmelden können, und Administrations- und Installationsaktivitäten überprüfen. Diese ersetzen den Patch nicht.
Ausnutzung
- Keine bekannte Ausnutzung; am 21. Oktober 2026 nicht im CISA-KEV-Katalog.
- EPSS unter 1 % (sehr niedrig).
- Kein öffentlicher Proof of Concept gefunden. Das bedeutet 'nicht gefunden', nicht 'bestätigt keiner vorhanden'.
Unsere Empfehlung
- JD Edwards EnterpriseOne Tools mit der CPU vom Oktober 2026 patchen und den korrekten Build prüfen.
- Anmeldung an JD Edwards-Servern auf namentlich bekannte Administratoren beschränken und deren Konten überprüfen.
- Segmentierung des Server-Netzwerks prüfen und Administrations- und Installationsaktivitäten überwachen.
- Ebenfalls die remote und ohne Authentifizierung ausnutzbaren JD Edwards-Schwachstellen derselben CPU priorisieren, zum Beispiel CVE-2026-91299.
- Priorität: mittel für Organisationen mit JD Edwards; dringender, wenn die Server aus vielen internen Netzsegmenten erreichbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle CPU Advisory, October 2026 (primary) www.oracle.com
- NVD / Vulners record vulners.com
- OpenCVE app.opencve.io
- Strix www.strix.ai
- Tenable CPU analysis www.tenable.com
- Brandefense CPU analysis brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.