Oracle Agile PLM for Process: Fehlende Authentifizierung in Product Quality Management
Zusammenfassung
Oracle Agile Product Lifecycle Management for Process, Komponente Product Quality Management, Version 6.2.4, ist von fehlender oder unzureichender Authentifizierung betroffen (CWE-287, CWE-306). Ein nicht authentifizierter Angreifer mit HTTP-Zugriff auf die Anwendung kann kritische Daten unautorisiert erstellen, ändern oder löschen sowie auf die für die Anwendung zugänglichen Daten zugreifen. Der CVSS-3.1-Basiswert beträgt 9.1 (kritisch), vergeben durch den CNA Oracle; die Analyse durch die NVD ist noch ausstehend.
Betroffen
- Oracle Agile Product Lifecycle Management for Process, Komponente Product Quality Management
- Version 6.2.4 (gemäss CVE-Eintrag)
- Bei Oracle prüfen, ob weitere Release-Linien, einschliesslich 9.3.6, betroffen sind: Unbekannt.
Behoben in
Unbekannt. Oracles Critical Patch Update vom Oktober 2026 und das Patch-Availability-Dokument prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Zugriff auf die PLM-Weboberfläche auf VPN oder interne Netze beschränken (Empfehlung, nicht vom Hersteller bestätigt).
- Direkten Internetzugriff auf die Anwendung blockieren.
Ausnutzung
- CISA KEV: nicht gelistet.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Zum Zeitpunkt der Erfassung kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00249 (sehr niedrig).
Unsere Empfehlung
- Alle Agile-PLM-for-Process-Instanzen identifizieren und prüfen, ob sie aus dem Internet erreichbar sind; Zugriff umgehend einschränken.
- Sobald die gepatchte Version bestätigt ist, den Fix aus Oracles Critical Patch Update vom Oktober 2026 einspielen.
- HTTP-Logs auf nicht authentifizierte Anfragen an Product-Quality-Management-Pfade prüfen und die Datenintegrität in diesen Modulen kontrollieren.
- CISA KEV und öffentliche Proof-of-Concept-Quellen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Oracle Security Alerts www.oracle.com
- Vulners CVE-2026-91624 vulners.com
- OpenCVE CVE-2026-91624 app.opencve.io
- VulDB CVE-2026-91624 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:42.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.