Oracle Outside In Technology: Unzureichende Zugriffskontrolle im Clean Content SDK
Zusammenfassung
Oracle Outside In Technology 8.5.8, konkret die Komponente Clean Content SDK, enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann diese ausnutzen, sofern ein Benutzer mit einer präparierten Anfrage oder Datei interagiert, und kann kritische Daten erstellen, ändern oder löschen sowie eine Teilmenge der zugänglichen Daten lesen; wegen des Scope-Wechsels können auch andere Produkte betroffen sein. Die Ausnutzung erfordert Benutzerinteraktion, und das SDK wird meist in andere Software eingebettet, daher hängt die Exposition davon ab, ob ein HTTP-Dienst Dateien über diese Komponente verarbeitet.
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente Clean Content SDK)
- Andere Versionen: in den Quellen nicht angegeben.
Behoben in
- Korrigierte Version: Unbekannt. Die Quellen weisen auf einen Sicherheitspatch im Oracle Critical Patch Update vom Oktober 2026 für 8.5.8 hin; die genaue Patch-Kennung wurde nicht bestätigt.
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Bis zur Korrektur HTTP-Endpunkte, die Dateien über die Outside-In-Komponente verarbeiten, auf interne oder vertrauenswürdige Netze beschränken und, wo möglich, eine Authentifizierung verlangen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn laut den Quellen.
- Kein öffentlicher Proof-of-Concept-Code gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- Prüfen, ob ein System Outside In 8.5.8 direkt oder über ein eingebettetes Produkt einsetzt.
- Die Korrektur im Oracle Critical Patch Update vom Oktober 2026 bestätigen und auf 8.5.8 anwenden.
- Patches priorisieren, falls der betroffene HTTP-Endpunkt aus dem Internet erreichbar ist, oder den Zugriff bis zur Korrektur einschränken.
- NVD (Analyse ausstehend) und CISA KEV auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE CVE-2026-91342 app.opencve.io
- Strix CVE-2026-91342 www.strix.ai
- Oracle Outside In Technology Downloads www.oracle.com
- Waratek: October 2026 Oracle CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.