Oracle REST Data Services: Schwachstelle ermöglicht Übernahme über HTTP
Zusammenfassung
Eine Schwachstelle in Oracle REST Data Services (ORDS) in den Versionen 24.2.0 bis 26.2.2 erlaubt einem Angreifer mit Netzwerkzugriff über HTTP und einem Konto mit niedrigen Berechtigungen, den Dienst zu kompromittieren. Bei einem erfolgreichen Angriff kann ORDS vollständig übernommen werden, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; eine Benutzerinteraktion ist nicht nötig. Oracle hat Korrekturen im Critical Patch Update vom Oktober 2026 veröffentlicht.
Betroffen
- Oracle REST Data Services 24.2.0 bis 26.2.2
- Angreifer benötigt Netzwerkzugriff über HTTP und ein Konto mit niedrigen Berechtigungen
Behoben in
- Unbekannt. Die korrigierte ORDS-Version wird in den geprüften Quellen nicht genannt; die Oracle-Advisory zum Critical Patch Update vom Oktober 2026 prüfen.
Umgehung
- Keine Workaround-Lösung des Herstellers bekannt. Patchen ist die einzige dokumentierte Massnahme.
- Übergangsmassnahmen: Netzwerkzugriff auf die HTTP-Endpunkte von ORDS einschränken, Konten mit ORDS-Anmeldung reduzieren, ORDS-Logs auf ungewöhnliche Aktivitäten überwachen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn. Nicht in der CISA-KEV-Liste.
- CISA SSVC: Ausnutzung none, automatisierbar no.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00389.
Unsere Empfehlung
- Alle ORDS-Installationen erfassen und prüfen, ob sie aus dem Internet erreichbar sind oder viele Benutzerkonten haben.
- Das Oracle Critical Patch Update vom Oktober 2026 für ORDS mit hoher Priorität einspielen, wo die Exponierung hoch ist; sonst im normalen Patch-Zyklus.
- Bis zum Patch den Netzwerkzugriff auf die ORDS-HTTP-Endpunkte einschränken und Konten mit ORDS-Zugriff prüfen.
- ORDS-Logs auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- VulDB: CVE-2026-91610 vuldb.com
- OpenCVE: CVE-2026-91610 app.opencve.io
- Vulners: CVE-2026-91610 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.