-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Oracle Communications
Advisory ID     : NCSC-2026-0375
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-9563, CVE-2026-12590, CVE-2026-13006,
                  CVE-2026-13758, CVE-2026-17544, CVE-2026-19880,
                  CVE-2026-34477, CVE-2026-39822, CVE-2026-41239,
                  CVE-2026-41989, CVE-2026-44024, CVE-2026-48998,
                  CVE-2026-49284, CVE-2026-49844, CVE-2026-50734,
                  CVE-2026-54518, CVE-2026-55952, CVE-2026-57220,
                  CVE-2026-58520, CVE-2026-59943, CVE-2026-61109,
                  CVE-2026-63308, CVE-2026-64849, CVE-2026-66299,
                  CVE-2026-67355, CVE-2026-71290, CVE-2026-73194,
                  CVE-2026-73508, CVE-2026-83417, CVE-2026-83418,
                  CVE-2026-83419
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Limitation of a Pathname to a Restricted
                  Directory ('Path Traversal')
                  Improper Link Resolution Before File Access ('Link
                  Following')
                  UNIX Symbolic Link (Symlink) Following
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Improper Control of Generation of Code ('Code
                  Injection')
                  Improper Encoding or Escaping of Output
                  Improper Validation of Array Index
                  Improper Handling of Length Parameter Inconsistency
                  Incorrect Calculation of Buffer Size
                  Insertion of Sensitive Information Into Sent Data
                  Observable Timing Discrepancy
                  Generation of Error Message Containing Sensitive
                  Information
                  Improper Certificate Validation
                  Improper Validation of Certificate with Host Mismatch
                  Improper Resource Shutdown or Release
                  Missing Initialization of a Variable
                  URL Redirection to Untrusted Site ('Open Redirect')
                  Allocation of Resources Without Limits or Throttling
                  Missing Release of Resource after Effective Lifetime
                  Out-of-bounds Write
                  Memory Allocation with Excessive Size Value
                  Incorrect Authorization
                  Server-Side Request Forgery (SSRF)
                  Incorrectly Specified Destination in a Communication
                  Channel
                  Improper Validation of Specified Quantity in Input
                  Improper Validation of Syntactic Correctness of Input
                  Improper Validation of Unsafe Equivalence in Input
Uitgiftedatum   : 20260916
Toepassing      : Oracle Oracle Communications
                  Oracle Oracle Communications Cloud Native Core Console
                  Oracle Oracle Communications MetaSolv Solution Module
                  - ASR
                  Oracle Oracle Communications Operations Monitor
                  Oracle Oracle Communications Service Catalog and
                  Design
                  Oracle Oracle Communications Unified Assurance
Versie(s)       :
Platform(s)     :

Beschrijving
   Oracle heeft 31 kwetsbaarheden verholpen in diverse Oracle
   Communications-producten, waaronder Oracle Communications Unified
   Assurance, Oracle Communications Cloud Native Core Security Edge
   Protection Proxy, Oracle Communications MetaSolv Solution Module -
   ASR, Oracle Communications Service Catalog and Design en Oracle
   Communications Operations Monitor.

   De kwetsbaarheden betreffen verschillende beveiligingsproblemen in
   Oracle Communications-producten, waaronder mogelijkheden voor niet-
   geauthenticeerde en laaggeprivilegieerde kwaadwillenden om via
   netwerktoegang ongeautoriseerde acties uit te voeren. De
   kwetsbaarheden hebben CVSS-scores variërend van laag tot kritiek. Van
   de in totaal 31 kwetsbaarheden zijn vier als kritiek aangemerkt en
   kunnen 23 kwetsbaarheden zonder authenticatie op afstand worden
   misbruikt. Succesvol misbruik kan onder meer leiden tot het
   verkrijgen van ongeautoriseerde toegang tot gevoelige informatie, het
   wijzigen van gegevens en het verstoren van de beschikbaarheid van
   getroffen systemen. Sommige kwetsbaarheden vereisen
   gebruikersinteractie of voorafgaande toegangsrechten, terwijl andere
   volledig op afstand en zonder authenticatie kunnen worden misbruikt.
   De vier kwetsbaarheden die als kritiek zijn aangemerkt,
   CVE-2026-44024, CVE-2026-17544, CVE-2026-71290 en CVE-2026-73194,
   hebben een CVSS-score van 9,1 of hoger en bevinden zich in
   verschillende Core-componenten van Oracle Communications Unified
   Assurance, waaronder Fluentd, PHP, Apache HttpClient en DBI. Deze
   kwetsbaarheden kunnen zonder authenticatie op afstand worden
   misbruikt en kunnen een hoge impact hebben op de vertrouwelijkheid
   en, afhankelijk van de kwetsbaarheid, de integriteit en
   beschikbaarheid van getroffen systemen.
   Het NCSC adviseert om de beveiligingsupdates voor de kritieke
   kwetsbaarheden met voorrang toe te passen.

Mogelijke oplossingen
   Oracle heeft updates uitgebracht om de kwetsbaarheden te verhelpen.
   Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://www.oracle.com/security-alerts/cspusep2026.html

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=5TxX
-----END PGP SIGNATURE-----