Oracle Outside In Technology: Deserialisierung nicht vertrauenswürdiger Daten im Image Export SDK
Zusammenfassung
Oracle Outside In Technology, insbesondere die Komponente Image Export SDK, enthält eine Deserialisierungsschwachstelle (CWE-502), die Version 8.5.8 betrifft. Ein Angreifer mit lokalem Login auf einem System, auf dem das SDK läuft, kann die Bibliothek kompromittieren, wobei für den Angriff eine Interaktion einer Person mit einer schädlichen Eingabe nötig ist. Gemäss CVE-Eintrag kann ein erfolgreicher Angriff zur vollständigen Übernahme der betroffenen Komponente führen (CVSS 3.1: 7.8, hoch).
Betroffen
- Oracle Outside In Technology 8.5.8 (Komponente Image Export SDK)
Behoben in
- Unbekannt. Die fixe Version und die Patch-Nummer sind dem Oracle Critical Patch Update vom Oktober 2026 (Outside In Risk Matrix) oder über Oracle Support (MOS) zu entnehmen.
Umgehung
- Unbekannt. Oracle hat in den geprüften Quellen keinen Workaround veröffentlicht.
- Falls das Patchen verzögert ist, Anwendungen identifizieren, die das Image Export SDK laden, und einschränken, wer Dateien an diese übermitteln darf.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Anwendungsanbieter fragen, ob ihre Produkte Oracle Outside In einbetten und ob sie das CPU vom Oktober 2026 ausgeliefert haben.
- Den Herstellerpatch so rasch wie möglich einspielen und die fixe Version im Oracle-Advisory prüfen.
- Uploads und Dateieingaben an betroffene Anwendungen einschränken, insbesondere wenn externe Benutzer Dateien hochladen können.
- Auf unerwartete Prozesse oder Dateiaktivitäten auf Hosts mit betroffenen Anwendungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory, October 2026 www.oracle.com
- NVD record via Vulners vulners.com
- OpenCVE CVE-2026-91459 app.opencve.io
- Oracle Outside In Image Export SDK Developer's Guide docs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.