Oracle Agile PLM for Process: Fehlende Authentifizierung ermöglicht Datenzugriff und -änderung
Zusammenfassung
Eine Schwachstelle in der Komponente Product Quality Management von Oracle Agile Product Lifecycle Management for Process 6.2.4 erlaubt nicht authentifizierten Angreifern mit Netzwerkzugriff über HTTP, das Produkt zu kompromittieren. Erfolgreiche Angriffe können unberechtigten Lesezugriff auf kritische Daten sowie teilweise unberechtigten Schreib-, Einfüge- und Löschzugriff auf zugängliche Daten ermöglichen. Es sind keine Berechtigungen und keine Benutzerinteraktion erforderlich; der CVSS-Basiswert von 8.2 stammt aus dem Datensatz des CNA, die Analyse durch NVD war zum Zeitpunkt der Recherche noch ausstehend.
Betroffen
- Oracle Agile Product Lifecycle Management for Process, Version 6.2.4 (Komponente Product Quality Management)
Behoben in
- Unbekannt. Die korrigierte Version konnte nicht aus der Herstellerwarnung bestätigt werden; Patch-Verfügbarkeitstabelle der Oracle Critical Patch Update vom Oktober 2026 oder My Oracle Support prüfen.
Umgehung
- Kein Workaround von Oracle gefunden.
- Allgemeine Massnahme (nicht von Oracle): Zugriff auf die HTTP-Schnittstelle von PLM auf interne Benutzer oder VPN-Benutzer beschränken und hinter einem authentifizierenden Reverse Proxy betreiben.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Zum Zeitpunkt der Recherche nicht in der CISA KEV gelistet.
- Kein öffentlicher Proof-of-Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen, ob die HTTP-Schnittstelle von Agile PLM von aussen erreichbar ist, und jegliche externe Exposition entfernen.
- Zugriff auf interne Benutzer oder VPN-Benutzer beschränken und Authentifizierung am Reverse Proxy erzwingen.
- Die korrigierte Version aus der Oracle Critical Patch Update vom Oktober 2026 beziehen und einspielen, zusammen mit den übrigen Korrekturen für Product Quality Management aus demselben Release.
- Webprotokolle auf nicht authentifizierte Anfragen an Endpunkte von Product Quality Management prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE CVE-2026-91573 app.opencve.io
- VulDB CVE-2026-91573 summary vuldb.com
- Vulners CVE-2026-91573 vulners.com
- Strix CVE-2026-91573 www.strix.ai
- Vulners copy of Oracle CPU October 2026 vulners.com
- Oracle blog: October 2026 Critical Patch Update released blogs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.