Oracle Outside In Technology: Unauthentifizierte Datenmanipulation und Denial of Service über HTTP
Zusammenfassung
Oracle Outside In Technology in Version 8.5.8, Komponente Outside In Clean Content SDK, ist von einer Schwachstelle betroffen, die remote über HTTP ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden kann. Ein erfolgreicher Angreifer könnte kritische Daten, auf die die Komponente zugreift, verändern und einen Hang oder einen wiederholbaren Absturz (Denial of Service) auslösen. Die NVD vergibt einen CVSS-3.1-Basiswert von 9.1 (Critical); eine Codeausführung wird im CVE-Eintrag nicht beschrieben. Die Exposition hängt davon ab, ob ein Outside-In-basierter Dienst aus unvertrauenswürdigen Netzen erreichbar ist.
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente Outside In Clean Content SDK, Oracle Fusion Middleware)
- CVSS 3.1: 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H)
Behoben in
Unbekannt. Die zzzbehobene Version ist dem Oracle Critical Patch Update vom Oktober 2026 zu entnehmen.
Umgehung
- Unbekannt. Für diese CVE ist kein vom Hersteller bestätigter Workaround bekannt.
- Externen HTTP-Zugriff auf betroffene Dienste an der Firewall einschränken.
- Outside In Clean Content SDK deaktivieren, falls sie nicht benötigt wird.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine bekannt, Stand der geprüften Quellen.
- Zum Zeitpunkt der geprüften Quellen nicht im CISA-KEV-Katalog.
- Öffentlicher Proof of Concept: keiner gefunden; nicht umfassend geprüft.
- CISA SSVC: automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Systeme mit Oracle Outside In identifizieren, z. B. durch Suche in der Asset-Inventarisierung nach "Outside In" oder Fusion Middleware.
- Den Fix für Outside In 8.5.8 aus dem Oracle Critical Patch Update vom Oktober 2026 priorisiert einspielen, sobald die fixe Version im Advisory bestätigt ist.
- Bis zum Patch unnötigen externen HTTP-Zugriff auf betroffene Dienste blockieren und die Komponente deaktivieren, falls ungenutzt.
- Betroffene Dienste auf Abstürze, Hänger und unerwartete Datenänderungen überwachen.
- Den NVD-Eintrag auf überarbeitete CVSS-Daten prüfen, da er noch in Analyse war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- OpenCVE: CVE-2026-91341 app.opencve.io
- Vulners: CVE-2026-91341 vulners.com
- Breach Signal: Oracle October 2026 CPU breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.