Oracle WebCenter Content: Authentifizierungsumgehung in Content Server ermöglicht Übernahme
Zusammenfassung
Die Content-Server-Komponente von Oracle WebCenter Content in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine kritische Schwachstelle (CWE-287, CWE-306), die nicht authentifizierten Angreifern mit Netzwerkzugriff über HTTP erlaubt, die Anwendung zu kompromittieren. Gemäss CVE-Eintrag kann ein erfolgreicher Angriff zur Übernahme von Oracle WebCenter Content führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es sind keine Benutzerinteraktion und keine Berechtigungen erforderlich. Die Advisory von Oracle und der NVD-Eintrag sind die massgeblichen Quellen; technische Details sind noch nicht öffentlich.
Betroffen
- Oracle WebCenter Content, Komponente Content Server, Version 12.2.1.4.0
- Oracle WebCenter Content, Komponente Content Server, Version 14.1.2.0.0
- Frühere Versionen: Unbekannt.
Behoben in
- Die Patches sind Teil des Oracle Critical Patch Update vom Oktober 2026 (Advisory veröffentlicht am 20. Oktober 2026).
- Spezifische Patch-Nummern für 12.2.1.4.0 und 14.1.2.0.0: Unbekannt. Prüfen Sie die Oracle-Advisory oder My Oracle Support.
Umgehung
- Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.
- Bis zur Behebung den Zugriff auf Content Server auf interne Netze oder VPN beschränken und erreichbare HTTP-Endpunkte an einem Reverse Proxy oder einer WAF einschränken (eigene Empfehlung, keine Herstelleraussage).
Ausnutzung
- Nicht im Katalog der bekanntermassen ausgenutzten Schwachstellen (KEV) der CISA aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
- Technische Details sind nicht öffentlich. Nicht bestätigte Drittquellen erwähnen die Ausführung von beliebigem Code.
Unsere Empfehlung
- Alle Content-Server-Instanzen identifizieren und prüfen, ob sie aus dem Internet erreichbar sind.
- Internetexponierte Instanzen mit Priorität patchen; interne Instanzen ebenfalls patchen.
- Das Oracle CPU vom Oktober 2026 einspielen, nachdem die Patch-Nummern in der Advisory bestätigt wurden.
- Bis zur Behebung den Netzwerkzugriff einschränken und HTTP-Zugriffsprotokolle auf ungewöhnliche Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
- NVD / CVE record via Vulners vulners.com
- VulDB CVE-2026-91495 vuldb.com
- OpenCVE CVE-2026-91495 app.opencve.io
- Oracle Critical Patch Update Advisory – September 2026 www.oracle.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.