JD Edwards EnterpriseOne Tools: Lokale Übernahme in der Deployment-Komponente
Zusammenfassung
Eine Schwachstelle in der Deployment-Komponente (SEC) von JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 erlaubt einem Angreifer die Übernahme der Tools-Anwendung. Der Angreifer benötigt lokalen Logon auf die Infrastruktur, auf der Tools läuft, und eine Interaktion durch eine andere Person als den Angreifer ist erforderlich. Eine erfolgreiche Ausnutzung betrifft die Vertraulichkeit, Integrität und Verfügbarkeit. Der CVE-Eintrag nennt die CWE-601, was nicht eindeutig zur Beschreibung passt.
Betroffen
- JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5
- Komponente: Deployment SEC
Behoben in
- Den Patch für JD Edwards EnterpriseOne Tools aus dem Critical Patch Update (CPU) von Oracle vom Oktober 2026 installieren.
- Konkreter Patch-Stand: Unbekannt. Den Stand für Ihre Version dem Advisory von Oracle entnehmen.
Umgehung
- Unbekannt. Der CVE-Eintrag nennt keinen Workaround.
- Den Logon-Zugriff auf Server mit Tools einschränken (provisorische Massnahme, keine Herstellerempfehlung).
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS-Wert unter 1%.
- CISA SSVC: Exploitation none, nicht automatisierbar.
- Zum Zeitpunkt der Recherche sind kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- JD Edwards EnterpriseOne Tools im regulären Patch-Zyklus des CPU vom Oktober 2026 patchen.
- CVE-2026-91299 (Orchestrator, CVSS 10.0) zuerst patchen, falls Orchestrator aktiviert und von aussen erreichbar ist.
- Den Logon-Zugriff auf Server mit Tools einschränken und diese Hosts bis zum Patch auf verdächtige Logons überwachen.
- Die CWE-Klassifizierung auf NVD prüfen, bevor man sich darauf verlässt.
- Die Priorität erhöhen, wenn die Server breiten internen Zugriff oder schwache Logon-Kontrollen haben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert – October 2026 CPU www.oracle.com
- OpenCVE – CVE-2026-91328 app.opencve.io
- Vulners – CVE-2026-91328 vulners.com
- Strix – CVE-2026-91328 www.strix.ai
- Brandefense – Oracle October 2026 Critical Patch Update brandefense.io
- Waratek – Oracle October 2026 Critical Patch Update waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.