Oracle Outside In Technology: Unzureichende Eingabevalidierung in Outside In Core
Zusammenfassung
Oracle Outside In Technology in Version 8.5.8, konkret die Komponente Outside In Core, enthält eine Schwachstelle (CWE-20, unzureichende Eingabevalidierung). Ein Angreifer, der bereits eine Anmeldung auf dem System mit Outside In besitzt, kann die Bibliothek kompromittieren; der CVSS-3.1-Basiswert beträgt 7.8. Für einen erfolgreichen Angriff muss eine andere Person als der Angreifer eine Handlung ausführen, etwa das Öffnen einer präparierten Datei. Die Schwachstelle ist nicht aus dem Internet ausnutzbar.
Betroffen
- Oracle Outside In Technology 8.5.8 (unterstützte Version)
Behoben in
- Unbekannt. Patch aus dem Critical Patch Update von Oracle vom Oktober 2026 einspielen; die genaue Patch-Kennung ist in den Quellen nicht bestätigt.
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Übergangsmassnahme (keine Herstelleraussage): Dateien, die affizierte, auf Outside In basierende Komponenten erreichen, einschränken und lokale Anmeldungen auf diesen Hosts beschränken.
Ausnutzung
- CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Zum Zeitpunkt der Recherche nicht in CISA KEV gefunden.
- Kein öffentlicher Proof of Concept gefunden; fehlende Belege sind kein Beweis.
Unsere Empfehlung
- Alle Hosts und Anwendungen ermitteln, die Outside In 8.5.8 enthalten, etwa Dokumentenbetrachter, Konverter oder Archivierungs- und ECM-Werkzeuge.
- Die Oracle-CPU-Patches vom Oktober 2026 für diese Komponenten zusammen mit den übrigen CVEs derselben Serie (z. B. CVE-2026-91483) einspielen.
- Bis zum Patch lokale Anmeldungen auf betroffenen Hosts einschränken und die Verarbeitung nicht vertrauenswürdiger Dateien begrenzen.
- NVD und CISA KEV auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- NVD entry (via OpenCVE mirror) app.opencve.io
- Vulners CVE-2026-91458 vulners.com
- Strix CVE-2026-91458 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.