Oracle Applications Manager: Schwachstelle ermöglicht Übernahme über HTTP
Zusammenfassung
Oracle Applications Manager, Teil von Oracle E-Business Suite, enthält eine Schwachstelle, die ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP zur Kompromittierung des Produkts nutzen kann. Eine erfolgreiche Ausnutzung könnte zur Übernahme von Oracle Applications Manager führen. Die NVD bewertet sie mit CVSS 3.1 8.8, doch Oracles Risikomatrix und andere Quellen widersprechen sich bei Bewertung und Schwachstellentyp, daher ist die Einstufung noch zu bestätigen.
Betroffen
- Oracle Applications Manager 12.2.3 bis 12.2.15 (gemäss NVD-Eintrag und Oracle-Beschreibung)
Behoben in
- Behebung über das Oracle Critical Patch Update für Oktober 2026 (veröffentlicht am 20. Oktober 2026)
- Genaue Patchnummer für Applications Manager: Unbekannt. Prüfen Sie My Oracle Support Note KA923 und Oracles Risikomatrizen in Textform.
Umgehung
- Unbekannt: spezifische Workaround-Massnahme für diese CVE.
- Allgemeine Oracle-EBS-Empfehlung (durch Dritte berichtet): Netzwerkprotokolle blockieren, die ein Angriff benötigt, und nicht benötigte Benutzerberechtigungen entfernen. Oracle betrachtet dies nicht als langfristige Lösung.
- E-Business Suite und Middleware-Konsolen nicht über das öffentliche Internet erreichbar machen.
Ausnutzung
- Keine Ausnutzung gemeldet.
- CISA-SSVC-Daten führen Exploitation als none und Automatisierbarkeit als no auf. Die CVE ist nicht im CISA-KEV-Katalog.
- Bei begrenzter Recherche wurde kein öffentlicher Proof-of-Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
Unsere Empfehlung
- Falls Sie E-Business Suite 12.2.3 bis 12.2.15 betreiben, diese Schwachstelle mit hoher Priorität behandeln.
- Die Patches des Oracle Critical Patch Update für Oktober 2026 für Applications Manager über MOS Note KA923 einspielen.
- Applications Manager und EBS-Administrationsoberflächen vom öffentlichen Internetzugriff trennen.
- Konten mit Zugriff auf das EBS-System prüfen und nicht benötigte Zugriffe mit niedrigen Berechtigungen entfernen.
- HTTP-Zugriffe auf die Verwaltungsoberflächen auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle Critical Patch Update Advisory October 2026 (text-form risk matrices) www.oracle.com
- Oracle E-Business Suite blog: October 2026 CPU now available blogs.oracle.com
- VulDB entry for CVE-2026-91532 vuldb.com
- VulDB vulnerability 424358 vuldb.com
- OpenCVE entry for CVE-2026-91532 app.opencve.io
- Vulners entry for CVE-2026-91532 vulners.com
- CNNVD-2026-81533017 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.