Oracle Outside In Technology: Rechteausweitung im Clean Content SDK
Zusammenfassung
Oracle Outside In Technology 8.5.8, eine Komponente von Oracle Fusion Middleware (Outside In Clean Content SDK), enthält eine Schwachstelle, die einem Angreifer mit einer Anmeldung auf dem Host des SDK eine Kompromittierung der Komponente erlaubt. Der CVSS-Basiswert beträgt 8.4 (hoch) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Laut Beschreibung des CNA kann ein erfolgreicher Angriff zur Übernahme der Komponente führen; die CWE-Einstufung wird noch geprüft. Das Risiko ist für die meisten KMU wahrscheinlich gering, da das SDK üblicherweise in andere Software eingebettet ist.
Betroffen
- Oracle Outside In Technology, Version 8.5.8 (Komponente Clean Content SDK)
Behoben in
- Unbekannt. Prüfen Sie den Oracle Critical Patch Update vom Oktober 2026 (neueste Revision) auf den Patch für Outside In Technology.
Umgehung
- Vom Hersteller ist kein Workaround dokumentiert.
- Beschränken Sie, welche Konten sich auf Hosts mit dem SDK anmelden können.
- Entfernen Sie das SDK von Systemen, auf denen es nicht benötigt wird.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
- CISA SSVC: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Ermitteln Sie, welche installierte Software Outside In 8.5.8 einbettet.
- Spielen Sie die fixe Version aus dem Oracle Critical Patch Update vom Oktober 2026 ein, sobald sie für Ihr Produkt bestätigt ist.
- Priorisieren Sie gemeinsam genutzte Server sowie Hosts für Dokumentenverarbeitung und Integration.
- Beschränken Sie lokale Anmeldungen auf betroffenen Hosts und überwachen Sie diese.
- Patchen Sie das gesamte Produkt, da weitere CVEs derselben Charge es ebenfalls betreffen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert Advisory October 2026 CPU www.oracle.com
- OpenCVE CVE-2026-91355 app.opencve.io
- Strix CVE-2026-91355 www.strix.ai
- Vulners Oracle CPU October 2026 vulners.com
- Oracle Security Alerts index www.oracle.com
- Oracle public vulnerability to advisory mapping www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.