Oracle Solaris: Unzureichende Berechtigungsverwaltung in Utility-Komponente
Zusammenfassung
Oracle Solaris 11.4 ist von einer Schwachstelle in der Utility-Komponente betroffen, die als CWE-269 (Improper Privilege Management) eingestuft ist. Ein Benutzer mit niedrigen Rechten und lokalem Login auf dem Host kann sie ausnutzen, um das System zu übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff ist nicht über das Netzwerk möglich und setzt ein lokales Konto voraus. Die SSVC-Bewertung von CISA stuft die Schwachstelle als nicht automatisierbar ein, und es wurde kein öffentlicher Exploit gefunden.
Betroffen
- Oracle Solaris 11.4 (Utility-Komponente)
Behoben in
- Unbekannt. Die Korrektur ist Teil des Oracle Critical Patch Update vom Oktober 2026, veröffentlicht am 20. Oktober 2026. Die konkrete Solaris-SRU oder Patch-ID ist hier nicht bestätigt; prüfen Sie den Solaris-Abschnitt der Oracle-Sicherheitsmitteilung und My Oracle Support.
Umgehung
- Unbekannt. Es wurde keine Workaround des Herstellers gefunden.
- Bis zum Patch lokale Logins auf Solaris-11.4-Hosts einschränken, nicht genutzte Konten entfernen und lokale Zugriffsprotokolle prüfen.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden; die Suche war eingeschränkt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Laut einem sekundären Aggregator nicht in der KEV gelistet; im KEV-Katalog von CISA bestätigen.
Unsere Empfehlung
- Alle Solaris-11.4-Systeme im Asset-Inventar erfassen und vermerken, welche mehrere Benutzer oder sensible Daten haben.
- Die Solaris-Updates aus dem Oracle Critical Patch Update vom Oktober 2026 einspielen, sobald sie in My Oracle Support verifiziert sind.
- Lokale Konten einschränken, nicht genutzte entfernen und lokale Logins bis zur Korrektur überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Oracle Security Alerts www.oracle.com
- NVD/CISA data via OpenCVE app.opencve.io
- Vulners CVE-2026-91537 vulners.com
- Strix CVE-2026-91537 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.