Oracle Outside In Technology: Remote Code Execution über HTTP
Zusammenfassung
Oracle Outside In Technology Version 8.5.8, konkret die Komponente Outside In Clean Content SDK von Oracle Fusion Middleware, enthält eine kritische Schwachstelle. Ein Angreifer mit Netzwerkzugriff über HTTP und einem Konto mit niedrigen Berechtigungen kann die Komponente kompromittieren, bis hin zur vollständigen Übernahme, und da sich der Scope ändert, können auch andere Produkte erheblich betroffen sein. Der CVSS-Basiswert beträgt 9.9. Das Risiko hängt davon ab, ob eine Anwendung das SDK einbindet und dessen HTTP-Endpunkte veröffentlicht; die Analyse durch NVD war zum Zeitpunkt der Erstellung noch ausstehend.
Betroffen
- Oracle Outside In Technology, Komponente Outside In Clean Content SDK, Version 8.5.8
- Im CVE-Eintrag und in den NVD-CPE-Daten ist nur Version 8.5.8 aufgeführt.
Behoben in
- Unbekannt. Das Oktober-2026-Critical-Patch-Update (CPU) von Oracle enthält die Korrektur. Bestätigen Sie die korrigierte Version für Ihre Release-Linie im aktuellen Oracle-Advisory.
Umgehung
- Im CVE-Eintrag ist keine Workaround-Massnahme dokumentiert.
- Nur allgemeine Härtung, von Oracle für diese CVE nicht bestätigt: Externen HTTP-Zugriff auf die Komponente mit Firewall-Regeln oder ACLs einschränken.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- CISA SSVC: Exploitation none, Automatable no.
- Laut OpenCVE nicht in CISA KEV gelistet (Prüfdatum unklar).
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Fragen Sie Ihren Anwendungshersteller oder Ihren Administrator, ob Outside In Clean Content SDK 8.5.8 vorhanden ist, auch in Oracle-Produkten und Individualsoftware.
- Falls vorhanden, spielen Sie das CPU vom Oktober 2026 für die betroffene Version ein, nachdem Sie die korrigierte Version im Oracle-Advisory bestätigt haben.
- Blockieren Sie bis zur Behebung den externen HTTP-Zugriff auf die Komponente und beschränken Sie den internen Zugriff auf die benötigten Hosts.
- Prüfen Sie in NVD den endgültigen CWE und CVSS-Wert und überwachen Sie den KEV-Status.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91354 app.opencve.io
- Vulners: CVE-2026-91354 vulners.com
- Breach Signal: Oracle October 2026 CPU breach-signal.com
- Strix: CVE-2026-91354 www.strix.ai
- Oracle Security Alerts index www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.