Oracle Business Process Management Suite: Fehlende Authentifizierung im Case Management
Zusammenfassung
Die Oracle Business Process Management Suite in den Versionen 12.2.1.4.0 und 14.1.2.0.0 weist im Case Management Service eine Schwachstelle auf, bei der eine Authentifizierung fehlt (CWE-306, gemäss den Eingabedaten). Ein entfernter Angreifer mit Netzwerkzugang über HTTP und ohne Anmeldung kann auf kritische Daten sowie auf alle in der Suite zugänglichen Daten zugreifen und einzelne dieser Daten ändern, einfügen oder löschen. Der CVSS-3.1-Basiswert beträgt 8.2 (hoch). Betroffen sind nur Organisationen, die diese BPM-Versionen einsetzen.
Betroffen
- Oracle Business Process Management Suite 12.2.1.4.0
- Oracle Business Process Management Suite 14.1.2.0.0
Behoben in
Unbekannt. Der Patch für das BPM Case Management ist im Abschnitt Fusion Middleware der Critical Patch Update-Empfehlung von Oracle vom Oktober 2026 aufgeführt. Verwenden Sie die aktuelle Revision auf der Oracle-Seite.
Umgehung
Unbekannt. Von Oracle wurde kein BPM-spezifischer Workaround gefunden.
- Beschränken Sie bis zur Behebung den HTTP-Zugriff auf die Case-Management-Endpunkte auf interne Netze oder nur auf VPN (eigene Empfehlung, nicht von Oracle).
- Platzieren Sie die Endpunkte hinter einem Reverse Proxy oder einer WAF mit Protokollierung.
Ausnutzung
- Es wurde kein öffentlicher Proof of Concept gefunden.
- In den Recherchen wurde kein Eintrag im CISA-KEV-Katalog gefunden; dies sollte erneut geprüft werden.
- Oracle und SecurityWeek haben das Critical Patch Update vom Oktober 2026 nicht als aktiv ausgenutzt gemeldet.
Unsere Empfehlung
- Prüfen Sie, ob BPM 12.2.1.4.0 oder 14.1.2.0.0 installiert ist, auch über einen Anbieter oder Integrator.
- Falls installiert, spielen Sie den Patch aus dem Oracle Critical Patch Update vom Oktober 2026 für BPM prioritär ein.
- Beschränken Sie bis dahin den Zugriff auf die Endpunkte und prüfen Sie die HTTP-Zugriffsprotokolle auf unerwartete Anfragen ohne Authentifizierung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- Oracle Security Alerts www.oracle.com
- Vulners CVE-2026-91358 vulners.com
- Strix CVE-2026-91358 www.strix.ai
- SecurityWeek: Oracle patches over 1200 vulnerabilities with October 2026 CPU www.securityweek.com
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.