Oracle Siebel CRM Deployment: Fehlende Authentifizierung ermöglicht Übernahme
Zusammenfassung
Oracle Siebel CRM Deployment (Komponente Server Infrastructure), Versionen 17.0 bis 26.9, enthält eine Schwachstelle der Kategorie fehlende Authentifizierung (CWE-306). Ein entfernter Angreifer mit einem Konto mit niedrigen Rechten und Netzwerkzugriff über HTTP kann den Server kompromittieren, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CNA-Eintrag bewertet die Schwachstelle mit CVSS 3.1 8.8; VulDB bewertet sie mit 6.3 und CWE-269, die Bewertung unterscheidet sich somit zwischen den Quellen.
Betroffen
- Oracle Siebel CRM Deployment, Komponente Server Infrastructure, Versionen 17.0 bis 26.9 (laut CNA-Eintrag von Oracle)
- Genaue korrigierte Version: Unbekannt.
Behoben in
- Unbekannt. Prüfen Sie das Oracle Security Alert October 2026 (CPU) auf den Patch für Ihre Version.
- Gehen Sie nicht davon aus, dass Version 26.9 oder neuer korrigiert ist.
Umgehung
- Kein offizieller Workaround von Oracle gefunden.
- Allgemeiner, inoffizieller Hinweis: Den HTTP-Zugriff auf den Siebel-Server mittels Firewall-Regeln oder ACLs auf vertrauenswürdige IP-Bereiche beschränken.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt. Bekannte Ausnutzung: Nicht gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Öffentlicher Proof of Concept: In unseren Recherchen nicht gefunden.
Unsere Empfehlung
- Prüfen Sie, ob in Ihrer Umgebung eine Siebel-CRM-Deployment-Instanz betrieben wird, und ermitteln Sie deren genaue Version.
- Spielen Sie die korrigierte Version aus dem Oracle CPU vom Oktober 2026 ein, sobald die korrigierte Version auf der Oracle-Seite verifiziert ist.
- Beschränken Sie bis zur Behebung den HTTP-Zugriff auf den Siebel-Server auf vertrauenswürdige Quellen und überprüfen Sie Konten mit niedrigen Rechten.
- Installieren Sie die gesamte CPU vom Oktober 2026, da darin weitere Siebel-Deployment-Schwachstellen enthalten sind.
- Überwachen Sie den NVD- und KEV-Status auf Änderungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Strix CVE record CVE-2026-91442 www.strix.ai
- VulDB entry 424177 vuldb.com
- OpenCVE CVE-2026-91442 app.opencve.io
- Vulners CVE-2026-91442 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.