Oracle Outside In Technology: Unzureichende Zugriffskontrolle über HTTP
Zusammenfassung
Oracle Outside In Technology 8.5.8 (Komponente Clean Content SDK) enthält eine Schwachstelle in der Zugriffskontrolle (CWE-284). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1 Basiswert 8.8). Es ist keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch ein gültiges Konto mit niedrigen Berechtigungen.
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente Clean Content SDK)
Behoben in
- Unbekannt. In den geprüften Quellen wird keine korrigierte Version und keine Patch-ID genannt. Prüfen Sie das Oracle-Advisory zum Critical Patch Update vom Oktober 2026 auf den Patch für CVE-2026-91340.
Umgehung
- Im CVE-Eintrag keine angegeben.
- Praktische Massnahme bis zum Patch: Netzwerkzugriff auf HTTP-Endpunkte, die das Clean Content SDK bereitstellen, auf interne, vertrauenswürdige Aufrufer beschränken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS unter 1 Prozent (sehr tief).
- In einer kurzen Recherche wurde kein öffentlicher Proof of Concept gefunden; dies ist nicht bestätigt.
Unsere Empfehlung
- Öffnen Sie das Oracle-Advisory zum Critical Patch Update vom Oktober 2026 und notieren Sie die Patch-ID und Revision für Version 8.5.8.
- Identifizieren Sie alle Systeme mit Outside In 8.5.8, einschliesslich Kopien, die in Drittanwendungen eingebettet sind; fragen Sie Ihre Applikationshersteller, ob sie die Komponente mitliefern.
- Prüfen Sie, ob HTTP-Endpunkte das Clean Content SDK bereitstellen, und beschränken Sie diese bis zur Behebung auf interne Netzwerke.
- Spielen Sie den Patch innerhalb Ihres Standardzeitplans für Oracle-Schwachstellen mit hohem Schweregrad ein.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alerts: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91340 app.opencve.io
- Vulners: CVE-2026-91340 vulners.com
- Strix: CVE-2026-91340 www.strix.ai
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
- Breach Signal: Oracle October 2026 Critical Patch Update breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.