Oracle (CPU/EBS/PeopleSoft/WebLogic) Seite 17

In der keycloak-services-Bibliothek, der Kernkomponente der Identitäts- und Zugriffsverwaltung Keycloak, wurde ein Fehler im role-users-Endpoint gefunden. Laut CVSS-Vektor ist der Angriff über das Netzwerk mit niedrigen Rechten und ohne Benutzerinteraktion möglich und wirkt sich auf die Vertraulichkeit aus. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: bereitgestellte Aktualisierungen einspielen.

In GitHub Enterprise Server wurde laut NVD eine Denial-of-Service-Schwachstelle identifiziert, die es einem nicht authentifizierten Angreifer ermöglicht, übermässigen CPU-Verbrauch zu verursachen und den Pool der Request-Handling-Worker zu erschöpfen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung.

Laut NVD besteht in der Komponente Kubernetes Operator der Oracle TimesTen In-Memory Database eine Schwachstelle. Betroffen ist laut Quelle die Version 26.1.1.1.0. Die Lücke ist über das Netzwerk mit niedrigen Rechten leicht ausnutzbar und betrifft die Verfügbarkeit. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle in der Komponente Core von Oracle Coherence (Oracle Fusion Middleware) betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Sie ist laut Quelle leicht über das Netzwerk durch einen Angreifer mit niedrigen Rechten ausnutzbar; die Auswirkung beschränkt sich laut CVSS-Vektor auf die Verfügbarkeit. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle vom Typ ineffiziente Algorithmuskomplexität in mtrudel bandit erlaubt einem nicht authentifizierten, entfernten Angreifer einen Denial of Service durch CPU-Erschoepfung während der Reassemblierung von WebSocket-Fragmenten. Die vorhandene Grössenprüfung greift dabei nicht wirksam. CVSS-Basiswert liegt nicht in den Quelldaten vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Laut NVD besteht in der Komponente MWA Terminal Server des Oracle Mobile Application Server (Oracle E-Business Suite) eine Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.3 bis 12.2.15. Die Lücke ist über das Netzwerk mit erhöhten Rechten leicht ausnutzbar und kann Vertraulichkeit und Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 6.7 (Mittel).

Laut NVD betrifft die Schwachstelle das Produkt PeopleSoft Enterprise FIN Common Objects Argentina von Oracle PeopleSoft in der Komponente Cash Management. Betroffen ist die Version 9.1; die Lücke gilt als einfach ausnutzbar. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Livebook (livebook-dev) versagt laut NVD nicht sicher bei der Identitätsprüfung (Fail-Open): Ein unauthentifizierter Netzwerk-Client kann dadurch vollen Zugriff auf einen Livebook-Server erhalten, der die Identität eigentlich erzwingen soll; die Quellbeschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert sowie eine EPSS-Bewertung liegen in den Quelldaten nicht vor.

In der Komponente PIA Core Technology des Produkts PeopleSoft Enterprise PeopleTools von Oracle PeopleSoft besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die Versionen 8.61 und 8.62. CVSS-Basiswert: 4.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine leicht ausnutzbare Schwachstelle betrifft die Komponente Communication im Produkt PeopleSoft Enterprise CS Campus Community von Oracle PeopleSoft. Betroffen ist die unterstützte Version 9.2.38. Der Angriff erfolgt über das Netzwerk mit niedrigen Berechtigungen und kann bei Erfolg die Vertraulichkeit beeinträchtigen. CVSS-Basiswert: 6.5 (Mittel).

Eine Schwachstelle in der Komponente Folders, Files & Attachments des Produkts Oracle Agile PLM von Oracle Supply Chain betrifft laut Quelle die Version 9.3.6. Die leicht auszunutzende Lücke erlaubt einem Angreifer mit niedrigen Rechten und Netzwerkzugriff den Zugriff auf vertrauliche Daten. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen, sobald verfügbar.

In der Console-Komponente des Oracle WebLogic Server (Oracle Fusion Middleware) besteht eine schwer auszunutzende Schwachstelle. Laut Quelle sind die unterstützten Versionen 14.1.2.0.0 und 15.1.1.0.0 betroffen. CVSS-Basiswert: 6.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Für die Produkte Omnissa (Workspace ONE, Horizon), Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows wurde eine Sicherheitslücke (CVE-2023-20884) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware betrifft die Komponente Core. Betroffen ist laut Quelle die Version 15.1.1.0.0; die Lücke ist einfach ausnutzbar und erlaubt einem Angreifer mit niedrigen Rechten eine Beeinträchtigung. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

ZITADEL ist eine Open-Source-Plattform für Identitätsmanagement. In den Versionen 2.43.0 bis 2.71.19, 3.0.0 bis 3.4.11 sowie 4.0.0 bis 4.15.1 besteht eine Schwachstelle in den Self-Management-API-Pfaden für E-Mail und Telefonnummer. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Eine Schwachstelle im Produkt Oracle WebCenter Sites von Oracle Fusion Middleware betrifft laut Quelle die Versionen 12.2.1.4.0 und 14.1.2.0.0. Die leicht auszunutzende Lücke erlaubt einem nicht privilegierten Angreifer mit Netzwerkzugriff unter Mitwirkung des Nutzers den Zugriff auf vertrauliche Daten. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen, sobald verfügbar.

Für Omnissa Workspace ONE/Horizon sowie die nachgelagerten Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic), Ping Identity/OneLogin und Microsoft Windows wurde eine Sicherheitslücke (CVE-2022-31661) gemeldet, dokumentiert im Omnissa Security Response Center. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Betroffen ist die Komponente Research Tracking im Produkt PeopleSoft Enterprise CS Student Records von Oracle PeopleSoft; laut Quelle ist Version 9.2.38 betroffen. Die Quelle stuft die Lücke als schwer ausnutzbar ein; der CVSS-Vektor weist hohe Angriffskomplexität und hohe erforderliche Rechte aus, bei hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 6.6 (Mittel).

In der Siemens SIMATIC S7-300 CPU-Familie (alle Versionen, inkl. ET200 CPUs und SIPLUS-Varianten) sowie SIMATIC S7-400 PN/DP V6 und weiteren Geräten wurde eine Sicherheitslücke identifiziert. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für Omnissa Workspace ONE/Horizon wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Oracle CPU/EBS/PeopleSoft/WebLogic, Ping Identity/OneLogin sowie Microsoft Windows) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Eine Schwachstelle in der Core-Komponente des Produkts Oracle Coherence (Oracle Fusion Middleware) betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Der Angriff erfolgt über das Netzwerk unter erschwerten Bedingungen und wirkt sich auf die Vertraulichkeit aus (Vektor AV:N/AC:H/PR:N, C:H). CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Oracle PeopleSoft Enterprise CS Campus Community (Komponente Security) besteht eine schwer ausnutzbare Schwachstelle; betroffen ist laut Quelle die Version 9.2.38. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Kanidm, eine Identitätsverwaltungs-Plattform, ist vor Version 1.9.3 anfällig: Eine einzelne unauthentifizierte GET-Anfrage an einen /scim/v1/...-Endpunkt mit einer ?filter=-Abfrage aus einigen tausend verschachtelten Klammern kann die Verarbeitung stark belasten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.9.3 oder neuer aktualisieren.

Laut NVD besteht eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware in der Komponente Core. Betroffen sind die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0; die Lücke gilt als einfach ausnutzbar. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist leicht auszunutzen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft die Versionen 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

Eine Schwachstelle im Produkt PeopleSoft Enterprise CS Campus Community von Oracle PeopleSoft (Komponente: Security) betrifft die unterstützte Version 9.2.38. Die Lücke ist laut Quelle leicht ausnutzbar und erlaubt Angriffe über das Netzwerk. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das im Rahmen des Oracle Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

In der webbasierten Verwaltungsoberfläche der Gastportale von Cisco Identity Services Engine (ISE) ermöglichen mehrere Schwachstellen einem authentifizierten, entfernten Angreifer Cross-Site-Scripting (XSS). CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Mehrere Schwachstellen in der webbasierten Verwaltungsoberfläche der Gast-Portale von Cisco Identity Services Engine (ISE) könnten es einem authentifizierten, entfernten Angreifer erlauben, Cross-Site-Scripting-Angriffe (XSS) durchzuführen. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die von Cisco bereitgestellten Sicherheitsupdates gemäss Advisory einspielen.

In Oracle Coherence (Oracle Fusion Middleware, Komponente Core) besteht eine leicht ausnutzbare Schwachstelle; betroffen sind laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Eine Schwachstelle im Produkt Oracle Coherence der Oracle Fusion Middleware (Komponente: Core) betrifft die unterstützten Versionen 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Schwachstelle ist schwer auszunutzen und netzbasiert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle betrifft Oracle JDeveloper aus Oracle Fusion Middleware (Komponente: ADF Faces) in den Versionen 12.2.1.4.0 und 14.1.2.0.0. Laut Quelle ist die Lücke schwierig auszunutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

FlashMQ ist ein für Mehrkern-Umgebungen ausgelegter MQTT-Broker/-Server. In Versionen vor 1.26.2 können autorisierte Clients das zulässige Overcommit ihres Schreibpuffers überschreiten und dadurch eine Störung auslösen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.26.2 oder neuer aktualisieren.

In Oracle Access Manager, einem Bestandteil von Oracle Fusion Middleware, besteht laut NVD eine Schwachstelle in der Komponente Authentication Engine. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0; die Lücke ist leicht ausnutzbar. Laut CVSS-Vektor ist sie über das Netzwerk ohne Privilegien und ohne Benutzerinteraktion ausnutzbar und wirkt sich begrenzt auf die Vertraulichkeit aus. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Ein authentifizierter Angreifer kann laut NVD einen Disposition-Frame mit grossen oder ungültigen Bereichsangaben (Ranges) erzeugen. Durch eine unzureichende Behandlung dieser Ranges entsteht eine übermässige CPU-Auslastung, die zu einem Denial of Service führen kann. Die genaue betroffene Apache-Software ist in der Quellbeschreibung nicht vollständig benannt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Laut NVD besteht eine Schwachstelle im Produkt Oracle JDeveloper von Oracle Fusion Middleware in der Komponente Java Business Objects. Betroffen sind die Versionen 12.2.1.4.0 und 14.1.2.0.0; die Lücke ist schwer auszunutzen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Im Produkt PeopleSoft Enterprise CS Campus Community von Oracle PeopleSoft (Komponente Integration and Interfaces) besteht eine Schwachstelle. Betroffen ist laut Quelle die unterstützte Version 9.2.38. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Die im Oracle Critical Patch Update bereitgestellten Fixes einspielen.

IBM Verify Identity Access 11.0 bis 11.0.2, IBM Security Verify Access 10.0 bis 10.0.9.1 sowie die zugehörigen Container-Varianten sind von einer Schwachstelle betroffen. CVSS-Basiswert: 5.3 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Ein authentifizierter Nutzer kann auf einem MongoDB-Server übermässigen CPU-Verbrauch oder Out-of-Memory-Zustände auslösen, indem er eine präparierte Queryable-Encryption-find-Anfrage mit einem nicht validierten Feld sendet. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von MongoDB bereitgestellten Sicherheitsupdates einspielen.

Eine leicht ausnutzbare Schwachstelle betrifft die Komponente Kubernetes Operator im Produkt Oracle TimesTen In-Memory Database. Betroffen ist die unterstützte Version 26.1.1.1.0. Der Angriff erfolgt über das Netzwerk mit niedrigen Berechtigungen und kann bei Erfolg die Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 6.5 (Mittel).

In der Komponente Internal Operations des Produkts Oracle E-Business Intelligence innerhalb der Oracle E-Business Suite besteht eine Schwachstelle in den unterstützten Versionen 12.2.3 bis 12.2.15. Die Ausnutzung gilt laut Quelle als schwierig. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein authentifizierter Angreifer kann einen Disposition-Frame mit grossen oder ungültigen Bereichsangaben (Ranges) präparieren. Durch eine naive Verarbeitung dieser Ranges entsteht übermässige CPU-Last, was zu einem Denial of Service führen kann. Laut Zuordnung sind Craft CMS (Pixel & Tonic) sowie Oracle-Produkte (CPU/EBS/PeopleSoft/WebLogic) betroffen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In OpenTelemetry eBPF Instrumentation vor Version 0.9.0 verwendet der Fallback-Pfad des CPU-Nachrichtenpuffers einen 256-Byte-Reservepuffer, was zu einer Sicherheitslücke führt. CVSS-Basiswert: 5.9 (Mittel). Betroffen sind Produkte von Oracle (CPU/EBS/PeopleSoft/WebLogic) und NAKIVO.

Eine Schwachstelle in der Core-Komponente des Produkts Oracle Coherence von Oracle Fusion Middleware betrifft laut Quelle die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die leicht auszunutzende Lücke erlaubt einem Angreifer mit niedrigen Rechten und Netzwerkzugriff eine Beeinträchtigung der Verfügbarkeit des Dienstes. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen, sobald verfügbar.

Decidim ist ein Framework für partizipative Demokratie. Laut NVD-Beschreibung besteht in den betroffenen Versionen (vor 0.30.9, ab 0.31.0 vor 0.31.5 sowie in 0.32.0.rc1 vor 0.32.0.rc2) ein Fehler in den Verwaltungscontrollern zur Prüfung von Identitätsdokumenten; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. Der CVSS-Vektor weist eine hohe Auswirkung auf die Vertraulichkeit aus (C:H). CVSS-Basiswert: 4.9 (Mittel).

In der Java-VM-Komponente des Oracle Database Server besteht eine Schwachstelle. Betroffen sind die unterstützten Versionen 19.3 bis 19.31, 21.3 bis 21.22 sowie 23.4.0 bis 23.26.2. Die leicht ausnutzbare Lücke erlaubt einem niedrig privilegierten Angreifer den Zugriff. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Eine Schwachstelle im Produkt Oracle Coherence von Oracle Fusion Middleware (Komponente: Core) betrifft die Versionen 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 und 15.1.1.0.0. Die Lücke ist laut Quelle leicht ausnutzbar. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das zugehörige Oracle-Sicherheitsupdate einspielen.

In Node.js wurde eine unvollständige Behebung identifiziert: Die Wiederverwendung von TLS-Sessions im HTTPS-Agent umgeht laut Quelle die Hostname-Prüfung über verschiedene Identity-Policies hinweg. Es handelt sich um einen unvollständigen Fix von CVE-2026-48934. CVSS-Basiswert: 6.3 (Mittel).

In der Komponente End User Self Service des Identity Managers von Oracle Fusion Middleware besteht eine leicht ausnutzbare Schwachstelle. Betroffen sind die unterstützten Versionen 12.2.1.4.0 und 14.1.2.1.0. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Komponente Kubernetes Operator des Produkts Oracle TimesTen In-Memory Database besteht eine leicht ausnutzbare Schwachstelle. Betroffen ist die Version 26.1.1.1.0. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.