Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 17

Für Omnissa Workspace ONE/Horizon sowie die nachgelagerten Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows wurde eine Sicherheitslücke (CVE-2022-31661) gemeldet, dokumentiert im Omnissa Security Response Center. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Betroffen ist die Komponente Research Tracking im Produkt PeopleSoft Enterprise CS Student Records von Oracle PeopleSoft; laut Quelle ist Version 9.2.38 betroffen. Die Quelle stuft die Lücke als schwer ausnutzbar ein; der CVSS-Vektor weist hohe Angriffskomplexität und hohe erforderliche Rechte aus, bei hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 6.6 (Mittel).

In der Siemens SIMATIC S7-300 CPU-Familie (alle Versionen, inkl. ET200 CPUs und SIPLUS-Varianten) sowie SIMATIC S7-400 PN/DP V6 und weiteren Geräten wurde eine Sicherheitslücke identifiziert. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für Omnissa Workspace ONE/Horizon wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Oracle CPU/EBS/PeopleSoft/WebLogic, Ping Identity/OneLogin sowie Microsoft Windows) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle in der Core-Komponente des Produkts Oracle Coherence (Oracle Fusion Middleware) betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Der Angriff erfolgt über das Netzwerk unter erschwerten Bedingungen und wirkt sich auf die Vertraulichkeit aus (Vektor AV:N/AC:H/PR:N, C:H). CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Oracle PeopleSoft Enterprise CS Campus Community (Komponente Security) besteht eine schwer ausnutzbare Schwachstelle; betroffen ist laut Quelle die Version 9.2.38. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Kanidm, eine Identitätsverwaltungs-Plattform, ist vor Version 1.9.3 anfällig: Eine einzelne unauthentifizierte GET-Anfrage an einen /scim/v1/...-Endpunkt mit einer ?filter=-Abfrage aus einigen tausend verschachtelten Klammern kann die Verarbeitung stark belasten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.9.3 oder neuer aktualisieren.

Laut NVD besteht eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware in der Komponente Core. Betroffen sind die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke gilt als einfach ausnutzbar. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist leicht auszunutzen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft die Versionen 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

Eine Schwachstelle im Produkt PeopleSoft Enterprise CS Campus Community von Oracle PeopleSoft (Komponente: Security) betrifft die unterstützte Version 9.2.38. Die Lücke ist laut Quelle leicht ausnutzbar und erlaubt Angriffe über das Netzwerk. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das im Rahmen des Oracle Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

In der webbasierten Verwaltungsoberfläche der Gastportale von Cisco Identity Services Engine (ISE) ermöglichen mehrere Schwachstellen einem authentifizierten, entfernten Angreifer Cross-Site-Scripting (XSS). CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Mehrere Schwachstellen in der webbasierten Verwaltungsoberfläche der Gast-Portale von Cisco Identity Services Engine (ISE) könnten es einem authentifizierten, entfernten Angreifer erlauben, Cross-Site-Scripting-Angriffe (XSS) durchzuführen. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die von Cisco bereitgestellten Sicherheitsupdates gemäss Advisory einspielen.

In Oracle Coherence (Oracle Fusion Middleware, Komponente Core) besteht eine leicht ausnutzbare Schwachstelle; betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Eine Schwachstelle im Produkt Oracle Coherence der Oracle Fusion Middleware (Komponente: Core) betrifft die unterstützten Versionen 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Schwachstelle ist schwer auszunutzen und netzbasiert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle betrifft Oracle JDeveloper aus Oracle Fusion Middleware (Komponente: ADF Faces) in den Versionen 12.2.1.4.0 und 14.1.2.0.0. Laut Quelle ist die Lücke schwierig auszunutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

FlashMQ ist ein für Mehrkern-Umgebungen ausgelegter MQTT-Broker/-Server. In Versionen vor 1.26.2 können autorisierte Clients das zulässige Overcommit ihres Schreibpuffers überschreiten und dadurch eine Störung auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.26.2 oder neuer aktualisieren.

In Oracle Access Manager, einem Bestandteil von Oracle Fusion Middleware, besteht laut NVD eine Schwachstelle in der Komponente Authentication Engine. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0; die Lücke ist leicht ausnutzbar. Laut CVSS-Vektor ist sie über das Netzwerk ohne Privilegien und ohne Benutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Vertraulichkeit aus. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

In Keycloak besteht eine Schwachstelle in der administrativen API zur Verwaltung von Identity Providern und Organisationen. Ein Administrator mit Berechtigung zur Verwaltung von Identity Providern kann die Schwachstelle laut Beschreibung ausnutzen, um über die eigentlich vorgesehene Berechtigung hinauszugehen. CVSS-Basiswert: 5.5 (Mittel), mit hoher Auswirkung auf die Integrität bei geringer Auswirkung auf die Vertraulichkeit.

Ein authentifizierter Angreifer kann laut NVD einen Disposition-Frame mit grossen oder ungültigen Bereichsangaben (Ranges) erzeugen. Durch eine unzureichende Behandlung dieser Ranges entsteht eine übermässige CPU-Auslastung, die zu einem Denial of Service führen kann. Die genaue betroffene Apache-Software ist in der Quellbeschreibung nicht vollständig benannt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Laut NVD besteht eine Schwachstelle im Produkt Oracle JDeveloper von Oracle Fusion Middleware in der Komponente Java Business Objects. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke ist schwer auszunutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Im Produkt PeopleSoft Enterprise CS Campus Community von Oracle PeopleSoft (Komponente Integration and Interfaces) besteht eine Schwachstelle. Betroffen ist laut Quelle die unterstützte Version 9.2.38. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Die im Oracle Critical Patch Update bereitgestellten Fixes einspielen.

IBM Verify Identity Access 11.0 bis 11.0.2, IBM Security Verify Access 10.0 bis 10.0.9.1 sowie die zugehörigen Container-Varianten sind von einer Schwachstelle betroffen. CVSS-Basiswert: 5.3 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Ein nicht authentifizierter entfernter Client kann laut NVD auf einem MongoDB-Server eine übermässige CPU-Last verursachen, indem er eine bestimmte Kombination von Parametern an das awaitable-hello-Kommando im Exhaust-Modus sendet. Dies kann die Verfügbarkeit des Servers beeinträchtigen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Eine leicht ausnutzbare Schwachstelle betrifft die Komponente Kubernetes Operator im Produkt Oracle TimesTen In-Memory Database. Betroffen ist die unterstützte Version 26.1.1.1.0. Der Angriff erfolgt über das Netzwerk mit niedrigen Berechtigungen und kann bei Erfolg die Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 6.5 (Mittel).

In der Komponente Internal Operations des Produkts Oracle E-Business Intelligence innerhalb der Oracle E-Business Suite besteht eine Schwachstelle in den unterstützten Versionen 12.2.3 bis 12.2.15. Die Ausnutzung gilt laut Quelle als schwierig. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein authentifizierter Angreifer kann einen Disposition-Frame mit grossen oder ungültigen Bereichsangaben (Ranges) präparieren. Durch eine naive Verarbeitung dieser Ranges entsteht übermässige CPU-Last, was zu einem Denial of Service führen kann. Laut Zuordnung sind Craft CMS (Pixel & Tonic) sowie Oracle-Produkte (CPU/EBS/PeopleSoft/WebLogic) betroffen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In OpenTelemetry eBPF Instrumentation vor Version 0.9.0 verwendet der Fallback-Pfad des CPU-Nachrichtenpuffers einen 256-Byte-Reservepuffer, was zu einer Sicherheitslücke führt. CVSS-Basiswert: 5.9 (Mittel). Betroffen sind Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic) und NAKIVO.

Eine Schwachstelle in der Core-Komponente des Produkts Oracle Coherence von Oracle Fusion Middleware betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die leicht auszunutzende Lücke erlaubt einem Angreifer mit niedrigen Rechten und Netzwerkzugriff eine Beeinträchtigung der Verfügbarkeit des Dienstes. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen, sobald verfügbar.

Decidim ist ein Framework für partizipative Demokratie. Laut NVD-Beschreibung besteht in den betroffenen Versionen (vor 0.30.9, ab 0.31.0 vor 0.31.5 sowie in 0.32.0.rc1 vor 0.32.0.rc2) ein Fehler in den Verwaltungscontrollern zur Prüfung von Identitätsdokumenten; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. Der CVSS-Vektor weist eine hohe Auswirkung auf die Vertraulichkeit aus (C:H). CVSS-Basiswert: 4.9 (Mittel).

In der Java-VM-Komponente des Oracle Database Server besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 19.3 bis 19.31, 21.3 bis 21.22 sowie 23.4.0 bis 23.26.2. Die leicht ausnutzbare Lücke erlaubt einem niedrig privilegierten Angreifer den Zugriff. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

In der Komponente End User Self Service des Identity Managers von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Node.js wurde eine unvollständige Behebung identifiziert: Die Wiederverwendung von TLS-Sessions im HTTPS-Agent umgeht laut Quelle die Hostname-Prüfung über verschiedene Identity-Policies hinweg. Es handelt sich um einen unvollständigen Fix von CVE-2026-48934. CVSS-Basiswert: 6.3 (Mittel).

In der Komponente Kubernetes Operator des Produkts Oracle TimesTen In-Memory Database besteht eine leicht ausnutzbare Schwachstelle. Betroffen ist die Version 26.1.1.1.0. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Bestandteil Dynamo Application Framework des Produkts Oracle Commerce Platform (Oracle Commerce) besteht eine Schwachstelle. Betroffen ist laut Quelle die Version 11.4.0. Der Angriff erfolgt netzbasiert mit niedrigen Privilegien, ist jedoch nur schwer ausnutzbar; bei erfolgreicher Ausnutzung sind Vertraulichkeit und Integrität betroffen. CVSS-Basiswert: 6.8 (Mittel).

Im Produkt PeopleSoft Enterprise CS Financial Aid von Oracle PeopleSoft besteht eine Schwachstelle in der Komponente Commonline Loans. Betroffen ist die unterstützte Version 9.2.38. Die Lücke ist laut Quelldaten schwer auszunutzen. CVSS-Basiswert: 6.8 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

In der Komponente Internal Operations des Oracle-Cost-Management-Produkts der Oracle E-Business Suite besteht eine Schwachstelle, die als schwer ausnutzbar eingestuft wird. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Laut NVD besteht in der Sicherheitskomponente der PeopleSoft Enterprise CS Campus Community (Oracle PeopleSoft) eine Schwachstelle. Betroffen ist laut Quelle die Version 9.2.38. Die Ausnutzung ist über das Netzwerk ohne Authentifizierung möglich, aber schwierig; betroffen sind die Vertraulichkeit und in geringem Umfang die Integrität. CVSS-Basiswert: 6.5 (Mittel).

In der JDBC-Komponente des Oracle Database Server besteht laut NVD eine Schwachstelle. Betroffen sind die unterstützten Versionen 19.3-19.31, 21.3-21.22 sowie 23.4.0-23.26.2. Die Lücke ist laut Quelle leicht ausnutzbar; laut CVSS-Vektor setzt der Angriff hohe Berechtigungen und Benutzerinteraktion voraus und kann Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen. CVSS-Basiswert: 6.8 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Eine Schwachstelle betrifft das Produkt PeopleSoft Enterprise FIN General Ledger Argentina von Oracle PeopleSoft (Komponente: General Ledger) in Version 9.1. Laut Quelle ist die Lücke schwierig auszunutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin GDPR Framework By Data443 überprüft vor Version 2.4.0 die Autorisierung bzw. die Identität der betroffenen Person beim Erfassen von Cookie-Consent-Entscheidungen und Privacy-Requests nicht ordnungsgemäss. Weitere Details zu den konkreten Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle in Oracle Application Object Library (Oracle E-Business Suite, Komponente Core) betrifft die Versionen 12.2.3 bis 12.2.15. Sie ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Im Produkt PeopleSoft Enterprise CS Campus Community von Oracle PeopleSoft (Komponente Security) besteht laut NVD eine Schwachstelle. Betroffen ist die unterstützte Version 9.2.38. Die Lücke ist laut Quelle schwierig auszunutzen; laut CVSS-Vektor erfolgt der Angriff über das Netzwerk ohne Berechtigungen, aber mit hoher Angriffskomplexität, und beeinträchtigt die Integrität stark. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

In PingIDM (vormals ForgeRock Identity Management) besteht eine Schwachstelle durch unzureichend granulare Zugriffskontrolle, bei der Administratoren die Zugriffsregeln für Remote Connectors nicht korrekt konfigurieren können. Dadurch lassen sich Zugriffsbeschränkungen nicht wie vorgesehen durchsetzen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle im Produkt PeopleSoft Enterprise CS Campus Community von Oracle PeopleSoft (Komponente: Security) betrifft die Version 9.2.38. Die Lücke ist schwer auszunutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist laut Quelle leicht ausnutzbar und erlaubt Angriffe über das Netzwerk. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das im Rahmen des Oracle Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

Im Produkt Oracle Contracts Integration der Oracle E-Business Suite (Komponente: Internal Operations) besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Laut Quellbeschreibung ist die Lücke schwer ausnutzbar. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Schwachstelle im Produkt PeopleSoft Enterprise PeopleTools von Oracle PeopleSoft (Komponente: Panel Processor) betrifft die Versionen 8.61 und 8.62. Die Lücke ist leicht auszunutzen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Produkt Oracle Contracts Integration der Oracle E-Business Suite (Komponente: Internal Operations) besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind laut Quelle die unterstützten Versionen 12.2.3 bis 12.2.15. CVSS-Basiswert: 6.1 (Mittel); die Ausnutzung erfordert eine Benutzerinteraktion, wirkt sich auf einen anderen Scope aus (Scope: Changed) und kann Vertraulichkeit sowie Integrität in geringem Umfang beeinträchtigen. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.