Oracle iSupport: Fehlende Zugriffskontrolle in Service Requests
Zusammenfassung
Das Webportal iSupport in Oracle E-Business Suite 12.2.3 bis 12.2.15 enthält eine Schwachstelle in der Komponente Service Requests. Ein Angreifer mit Netzwerkzugriff und einem Konto mit niedrigen Rechten kann ohne Benutzerinteraktion Daten, die über iSupport zugänglich sind, erstellen, ändern oder löschen und einen Teildienstausfall verursachen. Der CVSS-Basiswert beträgt laut CNA-Eintrag 8.5, VulDB bewertet die Schwachstelle mit 5.4; die NVD-Bewertung war zum Zeitpunkt der Erstellung noch ausstehend.
Betroffen
- Oracle E-Business Suite 12.2, Komponente iSupport (Service Requests)
- Unterstützte Versionen 12.2.3 bis 12.2.15
- Ausnutzbar über HTTP mit einem Konto mit niedrigen Rechten
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026 (Rev 1 oder Rev 2, noch zu überprüfen)
- Genaue Patchnummer und behobene Version: Unbekannt. Details erfordern eine Anmeldung bei My Oracle Support (KA1818, KA923)
Umgehung
- Unbekannt. Im CVE-Eintrag ist kein Workaround des Herstellers dokumentiert.
- Übergangsmassnahmen (nicht vom Hersteller bestätigt): Zugriff auf iSupport-URLs einschränken, Konten mit iSupport-Zugriff begrenzen, Web-Exposition bis zum Patch prüfen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS etwa 0.35 Prozent.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden. Dies ist kein Beweis, dass keine existiert.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
Unsere Empfehlung
- Prüfen, ob EBS 12.2 mit iSupport im Einsatz ist, und die genaue Version ermitteln.
- Das Oracle CPU vom Oktober 2026 oder ein neueres ohne Verzug einspielen, nachdem die aktuelle Revision des Advisories geprüft wurde.
- iSupport auf benötigte Benutzer und Netzwerke beschränken und prüfen, ob es aus dem Internet erreichbar ist.
- Logs von iSupport und EBS auf ungewöhnliches Erstellen, Ändern oder Löschen von Service Requests überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alerts October 2026 CPU www.oracle.com
- Oracle Blog: October 2026 Critical Patch Update released blogs.oracle.com
- Oracle EBS Technology Blog: CPU October 2026 blogs.oracle.com
- Vulners CVE-2026-91347 vulners.com
- VulDB 424016 vuldb.com
- OpenCVE CVE-2026-91347 app.opencve.io
- Google Cloud Threat Intelligence: EBS zero-day exploitation cloud.google.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:20.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.