Oracle Outside In Technology: Offenlegung von Informationen in Clean Content SDK

Zusammenfassung

Oracle Outside In Technology, eine Komponente von Oracle Fusion Middleware (Outside In Clean Content SDK), enthält in Version 8.5.8 eine Schwachstelle. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTP kann diese mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen. Erfolgreiche Angriffe können zu unautorisiertem Zugriff auf sensible Daten führen, wobei ein Scope Change auch andere Produkte betreffen kann, die die Komponente verwenden.

Betroffen

• Oracle Outside In Technology 8.5.8 (Komponente Clean Content SDK)

Behoben in

• Behoben im Oracle Critical Patch Update vom Oktober 2026 (laut OffSeq; nicht gegen die Oracle-Advisory verifiziert)
• Fixierte Build-Nummer: Unbekannt. Oracle-Advisory prüfen.

Umgehung

• Unbekannt. Der CVE-Eintrag und NVD nennen keine Workaround-Massnahme.
• Netzwerkzugriff auf HTTP-Dienste, die Outside In verwenden, bis zum Patch einschränken.
• Oracle empfiehlt, das Clean Content SDK zu deinstallieren oder zu deaktivieren, falls es nicht benötigt wird. Dies wird für das Schwesterprodukt CVE-2026-91354 genannt und ist für diese CVE nicht bestätigt.

Ausnutzung

• CISA KEV: nicht gelistet.
• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof-of-Concept gefunden; nicht vollständig verifiziert.
• EPSS unter 1 %.

Unsere Empfehlung

• Prüfen, ob Oracle Fusion Middleware oder Produkte mit Outside In 8.5.8 im Einsatz sind, insbesondere wenn sie aus dem Internet oder von Partnern erreichbar sind.
• Das Oracle Critical Patch Update vom Oktober 2026 einspielen, nachdem der fixierte Outside-In-Build im Oracle-Advisory bestätigt wurde.
• HTTP-Zugriff auf betroffene Dienste bis zum Patch einschränken.
• Ungewöhnliche Zugriffe auf diese Dienste überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert CPU October 2026 www.oracle.com
• OpenCVE CVE-2026-91353 app.opencve.io
• Vulners CVE-2026-91353 vulners.com
• OffSeq Radar CVE-2026-91353 radar.offseq.com
• Oracle Blog: October 2026 CPU now available blogs.oracle.com
• Waratek: Oracle October 2026 CPU waratek.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:26.