Oracle ZFS Storage Appliance Kit: Kompromittierung über HTTP in Core-Komponente
Zusammenfassung
Eine Schwachstelle in der Core-Komponente von Oracle ZFS Storage Appliance Kit Version 8.8 erlaubt einem Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP, die Appliance zu kompromittieren. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion erforderlich, und bisher wurden weder ein öffentlicher Proof-of-Concept noch eine aktive Ausnutzung gemeldet.
Betroffen
- Oracle ZFS Storage Appliance Kit, nur Version 8.8
- Komponente: Core
Behoben in
- Unbekannt. Den Abschnitt zur Patch-Verfügbarkeit im Security Alert der Oracle Critical Patch Update vom Oktober 2026 prüfen, um den korrigierten Patch zu finden.
Umgehung
- Unbekannt. Das Oracle-Advisory nennt in den verfügbaren Quellen keinen Workaround.
- Allgemeine Massnahme: Netzwerkzugriff auf die Verwaltungsschnittstelle auf autorisierte Administratoren beschränken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA KEV-Katalog aufgeführt.
- Im Rahmen der Recherche wurde kein öffentlicher Proof-of-Concept gefunden. Das beweist nicht, dass keiner existiert.
- EPSS: 0.00447.
Unsere Empfehlung
- Prüfen, ob eine Oracle ZFS Storage Appliance mit Kit Version 8.8 im Einsatz ist.
- Den korrigierten Patch aus dem Oracle-Advisory beziehen und so rasch wie möglich einspielen, zusammen mit CVE-2026-101597.
- Bis zum Patch den Zugriff auf die Verwaltungsschnittstelle auf vertrauenswürdige Netze und autorisierte Benutzer beschränken und Konten mit niedrigen Berechtigungen überprüfen.
- Logs auf ungewöhnliche HTTP-Zugriffe auf die Verwaltungsschnittstelle überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- CISA SSVC data via OpenCVE app.opencve.io
- Vulners: CVE-2026-91527 vulners.com
- Strix: CVE-2026-91527 www.strix.ai
- Strix: CVE-2026-101597 (related issue) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.