Oracle Siebel CRM End User: Fehlende Authentifizierung im Communications Panel
Zusammenfassung
Oracle Siebel CRM End User, Versionen 17.0 bis 26.9, enthält im Communications Panel/Dashboard eine Komponente ohne Authentifizierung (CWE-306). Ein nicht angemeldeter Angreifer mit Netzwerkzugriff per HTTP kann alle Daten lesen, auf die die Benutzeroberfläche zugreifen kann, und einige dieser Daten ändern, einfügen oder löschen. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, daher ist das Risiko vor allem relevant, wenn die Komponente aus dem Internet erreichbar ist. Der CVSS-Basiswert laut CNA/NVD ist 8.2; VulDB gibt 7.3 an.
Betroffen
- Oracle Siebel CRM End User, Versionen 17.0 bis 26.9 (Communications Panel/Dashboard)
Behoben in
Unbekannt. Die Siebel-Versionstabelle im Oracle Critical Patch Update Advisory vom Oktober 2026 prüfen.
Umgehung
- Keine verifizierte Gegenmassnahme von Oracle bekannt.
- Zugriff auf das Communications Panel/Dashboard am Reverse Proxy oder an der Firewall einschränken, bis gepatcht ist.
- Bei Oracle bestätigen lassen, welche unterstützte Konfigurationsänderung verfügbar ist.
Ausnutzung
- Kein öffentlicher Exploit bekannt; nicht im CISA KEV.
- CISA SSVC: Exploitation 'none', Automatable 'yes'.
- Das Fehlen bekannter Exploits bedeutet nicht, dass kein Exploit existiert.
Unsere Empfehlung
- Prüfen, ob Siebel CRM End User 17.0 bis 26.9 eingesetzt wird und welche Version.
- Prüfen, ob das Communications Panel/Dashboard aus dem Internet erreichbar ist.
- Das Oracle October 2026 CPU gemäss Advisory einspielen.
- Den Zugriff auf die Komponente einschränken, bis sie gepatcht ist.
- Exploit- und KEV-Quellen wöchentlich prüfen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
- OpenCVE: CVE-2026-91445 app.opencve.io
- VulDB: CVE-2026-91445 vuldb.com
- Vulners: Oracle CPU October 2026 vulners.com
- Strix: CVE-2026-91445 www.strix.ai
- Tenable: Oracle October 2026 CPU www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.