Oracle JD Edwards EnterpriseOne Tools: Rechteausweitung über Installation Security
Zusammenfassung
Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.4 enthalten eine Schwachstelle in der Komponente Installation Security. Ein nicht authentifizierter Angreifer mit Zugriff auf das physische Netzwerksegment der Hardware, auf der JD Edwards EnterpriseOne Tools läuft, kann das Produkt kompromittieren, was bei Interaktion eines Benutzers zur vollständigen Übernahme führen kann. Da der Scope geändert wird, können auch andere Produkte betroffen sein.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.4
- Möglicherweise 9.2.26.5 (unbestätigt, Daten verwandter CVEs nennen eine höhere Grenze)
Behoben in
- Unbekannt. Oracle-Advisory der Critical Patch Update vom Oktober 2026 prüfen.
Umgehung
- Der CVE-Eintrag nennt keinen Workaround.
- Bis zum Patch den Zugriff auf Layer 2 mit VLAN-Segmentierung und Port Security einschränken.
- Den physischen Zugriff auf Serverräume und Netzwerkports begrenzen.
- Installations- und Wartungsarbeiten nur autorisierten Administratoren erlauben.
- JDE-Tools-Hosts vom Internet fernhalten und nicht in der DMZ betreiben.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden; dies ist kein Beweis für das Fehlen eines solchen.
Unsere Empfehlung
- Prüfen, ob JDE-EnterpriseOne-Tools-Hosts aus nicht vertrauenswürdigen Netzen, Gast-WLAN oder gemeinsam genutzten LAN-Segmenten erreichbar sind.
- Das gepatchte Build aus dem Oracle-Advisory zum Critical Patch Update vom Oktober 2026 beziehen und im nächsten Wartungsfenster einspielen.
- Die oben genannten Massnahmen bis zur Installation des Patches anwenden.
- Die Komponente Installation Security und die betroffenen Hosts auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE CVE-2026-91326 app.opencve.io
- Vulners CVE-2026-91326 vulners.com
- Strix CVE-2026-91326 www.strix.ai
- Vulners CVE-2026-91314 (sibling, version range) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.