Oracle Outside In Technology: Unautorisierte Datenänderung über HTTP im Clean Content SDK
Zusammenfassung
Betroffen ist Oracle Outside In Technology in Version 8.5.8, konkret die Komponente Outside In Clean Content SDK innerhalb von Oracle Fusion Middleware. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann das Produkt kompromittieren und erhält unautorisierten Zugriff zum Erstellen, Löschen oder Ändern kritischer Daten. Aufgrund eines Scope Change können Angriffe auch andere Produkte, die die Komponente nutzen, erheblich beeinträchtigen.
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente Outside In Clean Content SDK, Oracle Fusion Middleware)
Behoben in
Unbekannt. In den geprüften Quellen wurde kein korrigierter Build bestätigt. Oracles Advisory zum Critical Patch Update vom Oktober 2026 prüfen.
Umgehung
- Kein vom Hersteller bereitgestelltes Workaround gefunden. Oracles Advisory prüfen.
- Provisorisch, nicht verifiziert: Externen HTTP-Zugriff auf den Endpunkt des Clean Content SDK mit Firewall-Regeln oder ACLs blockieren.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Zum Zeitpunkt der geprüften Quellen nicht im CISA KEV gelistet.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Öffentlicher Proof of Concept: keiner gefunden.
Unsere Empfehlung
- Alle Installationen von Outside In 8.5.8 inventarisieren und ermitteln, welche Anwendungen sie einbetten.
- Prüfen, ob HTTP-Dienste mit diesen Komponenten aus dem Internet oder aus unsicheren Netzen erreichbar sind, und den Zugriff wenn möglich sofort einschränken.
- Den korrigierten Build aus Oracles Advisory beziehen (gültiger Supportvertrag erforderlich) und zusammen mit den übrigen Outside-In-Korrekturen des Oktober-2026-CPU einspielen.
- Die aktuelle Revision des Advisory bestätigen, da die Quellen unterschiedliche Revisionen angeben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alerts: October 2026 Critical Patch Update www.oracle.com
- OpenCVE: CVE-2026-91343 app.opencve.io
- Vulners: CVE-2026-91343 vulners.com
- Strix: CVE-2026-91343 www.strix.ai
- Oracle Security Alerts www.oracle.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
- Breach Signal: Oracle October 2026 Critical Patch Update breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.