Oracle Outside In Technology: Eingabevalidierungsfehler in Clean Content SDK
Zusammenfassung
Oracle Outside In Technology Version 8.5.8, insbesondere die Komponente Clean Content SDK, enthält einen Eingabevalidierungsfehler (CWE-20). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff via HTTP kann die SDK kompromittieren, wobei die Ausnutzung eine Benutzerinteraktion mit präparierten Inhalten erfordert. Gemäss CVSS-Vektor kann ein erfolgreicher Angriff zu einer hohen Vertraulichkeits- und einer niedrigen Integritätsbeeinträchtigung führen und sich auf weitere Produkte auswirken.
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente Clean Content SDK)
Behoben in
- Den Oracle-Patch aus dem Critical Patch Update vom Oktober 2026 für Outside In Technology 8.5.8 einspielen.
- Patchte Versionsnummer: Unbekannt. Angaben im Oracle-Advisory oder bei My Oracle Support prüfen.
Umgehung
- Im CVE-Eintrag ist kein Workaround aufgeführt.
- Den HTTP-Zugriff auf die Komponente Clean Content SDK über Firewalls oder Netzwerksegmentierung einschränken (allgemeine Empfehlung, keine Herstellerangabe).
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt (laut Drittanbieter-Prüfung am 21. Oktober 2026).
- Kein öffentlicher Proof-of-Concept gefunden. EPSS unter 1%.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung partiell.
Unsere Empfehlung
- Prüfen, ob Outside In Technology 8.5.8 eingesetzt wird, etwa in Oracle Fusion Middleware oder in eigener oder fremder Software.
- Software-Lieferanten und Entwickler fragen, ob die SDK eingebettet ist.
- Wenn ein Internet-exponierter Dienst die SDK nutzt, mit hoher Priorität patchen; andernfalls den Patch zusammen mit dem CPU vom Oktober 2026 planen.
- Bis zum Patch die HTTP-Exposition der Komponente einschränken und ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alerts - October 2026 CPU www.oracle.com
- NVD/OpenCVE record CVE-2026-91346 app.opencve.io
- Vulners CVE-2026-91346 vulners.com
- Vulners Oracle CPU October 2026 vulners.com
- Brandefense: Oracle October 2026 CPU brandefense.io
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.