Oracle Data Integrator: Unzureichende Berechtigungsverwaltung im Dictionary Repository
Zusammenfassung
Oracle Data Integrator in den Versionen 12.2.1.4.0 und 14.1.2.0.0 enthält eine Schwachstelle in der Komponente Dictionary Repository. Ein Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff kann mittels SQL Oracle Data Integrator kompromittieren, gemeldet wird eine Übernahme des Produkts. Der Angriff setzt gültige Zugangsdaten mit niedrigen Berechtigungen voraus, ein Pfad ohne Authentifizierung wird nicht beschrieben. Der NVD-Eintrag ist noch in Analyse, und die Quellen unterscheiden sich bei der Schwachstellenklasse (CWE-269 gegenüber Eingabevalidierung).
Betroffen
- Oracle Data Integrator 12.2.1.4.0
- Oracle Data Integrator 14.1.2.0.0
Behoben in
Unbekannt. Das Critical Patch Update von Oracle vom Oktober 2026 enthält Korrekturen für ODI, die Patch-Identifikatoren und die korrigierten Versionen für diese Releases konnten jedoch nicht bestätigt werden.
Umgehung
Unbekannt. Der CVE-Eintrag und die Herstellerquellen enthalten keine herstellerspezifische Umgehungsmassnahme.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen Sie den ODI-Abschnitt des Critical Patch Update von Oracle vom Oktober 2026 und My Oracle Support auf den korrigierten Patch-Stand und spielen Sie ihn ein.
- Beschränken Sie den Netzwerkzugriff auf die Datenbank des ODI-Repositories und die ODI-Konsole.
- Begrenzen Sie die Anzahl der Konten mit niedrigen Berechtigungen für ODI und das Repository und überprüfen Sie diese regelmässig.
- Überwachen Sie die Repository-Datenbank auf ungewöhnliche SQL-Anfragen von ODI-Dienstkonten.
- Spielen Sie auch die Korrektur für CVE-2026-83396 (CVSS 9.8, Angriff über RMI ohne Authentifizierung) aus demselben Update ein und halten Sie RMI-Ports vom Internet fern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
- OpenCVE: CVE-2026-91668 app.opencve.io
- Strix: CVE-2026-91668 www.strix.ai
- VulDB: CVE-2026-91668 vuldb.com
- Brandefense: Oracle October 2026 Critical Patch Update brandefense.io
- Strix: CVE-2026-83396 www.strix.ai
- Vulners: CVE-2026-91668 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.