Oracle Communications Billing and Revenue Management: Unzureichende Rechteverwaltung
Zusammenfassung
Oracle Communications Billing and Revenue Management in den Versionen 15.0.0.0.0, 15.0.1.0.0, 15.1.0.0.0 und 15.2.0.0.0 enthält im Component Platform eine Schwachstelle, die als unzureichende Rechteverwaltung (CWE-269) eingestuft wird. Ein Angreifer mit einer Anmeldung mit niedrigen Berechtigungen auf der Infrastruktur, auf der BRM läuft, kann die Anwendung kompromittieren und übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff ist lokal, erfordert keine Benutzerinteraktion und ist konzeptionell nicht aus dem Internet erreichbar. Oracle bewertet die Schwachstelle mit einem CVSS-3.1-Basiswert von 7.8.
Betroffen
- Oracle Communications Billing and Revenue Management 15.0.0.0.0
- Oracle Communications Billing and Revenue Management 15.0.1.0.0
- Oracle Communications Billing and Revenue Management 15.1.0.0.0
- Oracle Communications Billing and Revenue Management 15.2.0.0.0
Behoben in
Unbekannt. Prüfen Sie das Critical Patch Update von Oracle vom Oktober 2026 auf die gepatchten Versionsnummern und spielen Sie den Fix ein.
Umgehung
Kein Workaround des Herstellers bekannt.
- Beschränken Sie die Anmeldung am BRM-Host auf die benötigten Personen.
- Überprüfen Sie die lokalen Konten auf dem Host.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Nicht im CISA-KEV-Katalog gelistet.
- EPSS unter 1%.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie, ob BRM in Ihrer Umgebung eingesetzt wird; falls nicht, ist keine Massnahme nötig.
- Spielen Sie den Patch von Oracle vom Oktober 2026 auf alle betroffenen BRM-15.x-Hosts ein, sobald die gepatchten Versionen bestätigt sind.
- Beschränken und prüfen Sie die Anmeldung an BRM-Hosts bis zum Patch.
- Überwachen Sie BRM-Hosts auf unerwartete Änderungen von Berechtigungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory (October 2026) www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- OpenCVE: CVE-2026-91627 app.opencve.io
- Vulners: CVE-2026-91627 vulners.com
- VulDB: CVE-2026-91627 vuldb.com
- Strix: CVE-2026-91627 www.strix.ai
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:53.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.