Oracle Solaris: Rechteausweitung durch unzureichende Rechteverwaltung
Zusammenfassung
Oracle Solaris 11.3 und 11.4 sind von einer Schwachstelle in der Komponente Utility betroffen (CWE-269, unzureichende Rechteverwaltung). Laut CNA-Eintrag kann ein Angreifer, der das System erreicht, Solaris übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Beschreibung setzt einen lokalen Logon voraus, während der CVSS-Vektor keine Berechtigungen verlangt; die genauen Voraussetzungen sollten daher bei Oracle geprüft werden.
Betroffen
- Oracle Solaris 11.3
- Oracle Solaris 11.4
Behoben in
- Solaris 11.4: Unbekannt, ob SRU 96 (20. Oktober 2026, Critical Patch Update) diese CVE behebt; Überprüfung erforderlich.
- Solaris 11.3: Unbekannt.
Umgehung
Unbekannt.
Ausnutzung
- Gemäss Drittquellen nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; laut diesen Quellen nicht im CISA-KEV-Katalog am 21. Oktober 2026 gelistet.
- In den geprüften Quellen kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS 0.00129 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Prüfen Sie Ihr Asset-Inventar auf Oracle-Solaris-Systeme. Falls keine vorhanden sind, hat diese CVE keine Auswirkungen auf Ihre Umgebung.
- Für Solaris-11.4-Systeme: Prüfen Sie im Oktober-2026-Advisory von Oracle und in My Oracle Support KB631614, ob SRU 96 diese CVE abdeckt, und installieren Sie es anschliessend per pkg update.
- Für Solaris-11.3-Systeme: Erfragen Sie den Patch-Status bei Oracle über My Oracle Support und spielen Sie die Korrektur ein, sobald sie verfügbar ist.
- Bis zur Behebung lokale Logon-Konten einschränken und begrenzen, wer sich auf betroffenen Systemen anmelden kann.
- Auf unerwartete Rechteänderungen und neue lokale Konten überwachen.
- Den CISA-KEV-Katalog vor der nächsten Überprüfung erneut kontrollieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
- Oracle Solaris 11.4 SRU 96 CPU announcement blogs.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- Vulners: CVE-2026-91348 vulners.com
- OpenCVE: CVE-2026-91348 app.opencve.io
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.