Oracle Agile PLM for Process: Unzureichende Zugriffskontrolle in Product Quality Management
Zusammenfassung
Oracle Agile Product Lifecycle Management for Process in Version 6.2.4 enthält eine Schwachstelle bei der Zugriffskontrolle (Improper Access Control) in der Komponente Product Quality Management. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion nötig. Oracle führt die Schwachstelle im Critical Patch Update vom Oktober 2026 auf, und der NVD-Eintrag ist noch in Analyse.
Betroffen
- Oracle Agile Product Lifecycle Management for Process 6.2.4 (Komponente Product Quality Management)
Behoben in
Unbekannt. Prüfen Sie das Oracle Patch Availability Document für Supply Chain-Produkte und My Oracle Support auf die Patch-Nummer und den korrigierten 6.2.4-Build.
Umgehung
- In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.
- Bis zum Einspielen eines Patches: Den HTTP-Zugriff auf die P4P-Webebene auf interne Netzwerke oder VPN beschränken, Konten mit niedrigen Berechtigungen prüfen und einschränken sowie die Endpunkte von Product Quality Management überwachen (allgemeine Empfehlung, nicht aus einer Quelle).
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- CISA SSVC im NVD-Eintrag: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.00362.
- Öffentlicher Proof of Concept: In unseren Recherchen nicht gefunden, was nicht beweist, dass keiner existiert.
- Nicht im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Prüfen Sie, ob Oracle Agile Product Lifecycle Management for Process inklusive Version 6.2.4 im Einsatz ist.
- Spielen Sie den Oracle-Patch aus dem CPU vom Oktober 2026 ein, sobald der korrigierte Build bestätigt ist.
- Halten Sie das System vom öffentlichen Internet fern und beschränken Sie den HTTP-Zugriff auf interne Netzwerke oder VPN.
- Prüfen und reduzieren Sie Konten mit niedrigen Berechtigungen und überwachen Sie die Endpunkte von Product Quality Management.
- Behandeln Sie dies mit hoher Priorität, wo das Produkt im Einsatz ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle CPU advisory, October 2026 www.oracle.com
- NVD record via OpenCVE app.opencve.io
- NVD mirror (Vulners) vulners.com
- VulDB entry vuldb.com
- VulDB CVE page vuldb.com
- Oracle Agile PLM roadmap docs.oracle.com
- VulDB product description (CVE-2026-91512) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.