Oracle Outside In Technology: Deserialisierungsschwachstelle im Image Export SDK

Zusammenfassung

Oracle Outside In Technology in Version 8.5.8, insbesondere die Komponente Outside In Image Export SDK, enthält eine Deserialisierungsschwachstelle (CWE-502). Ein Angreifer mit einem Zugriffspunkt auf den Host, auf dem das SDK läuft, kann die Bibliothek übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für die Ausnutzung ist eine Benutzerinteraktion mit einer präparierten Datei oder Eingabe erforderlich, die die Software verarbeitet.

Betroffen

• Oracle Outside In Technology 8.5.8 (Outside In Image Export SDK)
• Herstelleranwendungen, die diese SDK-Version einbinden (genaue Liste unbekannt)

Behoben in

Unbekannt. Die korrigierte Version ist in den geprüften Quellen nicht bestätigt; das Oracle Critical Patch Update vom Oktober 2026 führt diese CVE auf.

Umgehung

• Unbekannt aus Herstellerquellen.
• Drittanbieter-Hinweise (OpenCVE, nicht Oracle) empfehlen, die Nutzung des Outside In Image Export SDK zu deaktivieren oder einzuschränken, bis ein Patch verfügbar ist.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein.
• Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS ungefähr 0,2 %.
• Öffentlicher Proof of Concept: nicht gefunden (nicht umfassend geprüft).

Unsere Empfehlung

• Prüfen, ob installierte Software Outside In 8.5.8 enthält, einschliesslich versteckter Komponenten in Herstelleranwendungen.
• Bei den Herstellern nachfragen, wann ein Build mit Oracles Korrektur verfügbar ist, und diesen so bald wie möglich einspielen.
• Lokalen Zugriff auf Hosts mit dem SDK einschränken und die Verarbeitung von Dateien aus nicht vertrauenswürdigen Quellen begrenzen.
• Priorität erhöhen, wenn ein internetseitiger oder mehrbenutzerfähiger Dienst das SDK einbindet; die Oracle-Warnmeldung auf die korrigierte Version hin überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert - October 2026 CPU www.oracle.com
• OpenCVE - CVE-2026-91460 app.opencve.io
• Vulners - CVE-2026-91460 vulners.com
• Oracle Outside In 8.5 Image Export SDK developer guide docs.oracle.com
• CVEDetails - Oracle Outside In Technology www.cvedetails.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:15.