-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Oracle Fusion Middleware
Advisory ID     : NCSC-2026-0448
Versie          : 1.00
Kans            : high
CVE ID          : CVE-2022-1471, CVE-2023-43622, CVE-2024-41311,
                  CVE-2025-7962, CVE-2026-4176, CVE-2026-5598,
                  CVE-2026-8763, CVE-2026-9563, CVE-2026-12817,
                  CVE-2026-34477, CVE-2026-41635, CVE-2026-41855,
                  CVE-2026-42404, CVE-2026-42779, CVE-2026-47065,
                  CVE-2026-49844, CVE-2026-54399, CVE-2026-54428,
                  CVE-2026-54513, CVE-2026-56741, CVE-2026-59649,
                  CVE-2026-59889, CVE-2026-64607, CVE-2026-83379,
                  CVE-2026-83396, CVE-2026-83397, CVE-2026-83398,
                  CVE-2026-83399, CVE-2026-83401, CVE-2026-83402,
                  CVE-2026-83403, CVE-2026-83407, CVE-2026-83409,
                  CVE-2026-83426, CVE-2026-87251, CVE-2026-87296,
                  CVE-2026-87298, CVE-2026-87299, CVE-2026-87300,
                  CVE-2026-87302, CVE-2026-87304, CVE-2026-87334,
                  CVE-2026-87337, CVE-2026-87346, CVE-2026-87347,
                  CVE-2026-87359, CVE-2026-87360, CVE-2026-87361,
                  CVE-2026-87364, CVE-2026-87365, CVE-2026-87369,
                  CVE-2026-87370, CVE-2026-87371, CVE-2026-87372,
                  CVE-2026-87373, CVE-2026-87374, CVE-2026-87375,
                  CVE-2026-87376, CVE-2026-87377, CVE-2026-87378,
                  CVE-2026-87379, CVE-2026-87390, CVE-2026-87391,
                  CVE-2026-87392, CVE-2026-87393, CVE-2026-87394,
                  CVE-2026-87395, CVE-2026-87396, CVE-2026-87397,
                  CVE-2026-87398, CVE-2026-87399, CVE-2026-87400,
                  CVE-2026-87419, CVE-2026-87420, CVE-2026-91210,
                  CVE-2026-91211, CVE-2026-91212, CVE-2026-91213,
                  CVE-2026-91214, CVE-2026-91215, CVE-2026-91216,
                  CVE-2026-91217, CVE-2026-91218, CVE-2026-91219,
                  CVE-2026-91220, CVE-2026-91221, CVE-2026-91222,
                  CVE-2026-91223, CVE-2026-91224, CVE-2026-91225,
                  CVE-2026-91226, CVE-2026-91227, CVE-2026-91228,
                  CVE-2026-91229, CVE-2026-91230, CVE-2026-91231,
                  CVE-2026-91232, CVE-2026-91233, CVE-2026-91234,
                  CVE-2026-91235, CVE-2026-91236, CVE-2026-91237,
                  CVE-2026-91238, CVE-2026-91239, CVE-2026-91240,
                  CVE-2026-91243, CVE-2026-91245, CVE-2026-91246,
                  CVE-2026-91247, CVE-2026-91248, CVE-2026-91250,
                  CVE-2026-91251, CVE-2026-91259, CVE-2026-91261,
                  CVE-2026-91262, CVE-2026-91317, CVE-2026-91318,
                  CVE-2026-91319, CVE-2026-91320, CVE-2026-91322,
                  CVE-2026-91323, CVE-2026-91340, CVE-2026-91341,
                  CVE-2026-91342, CVE-2026-91343, CVE-2026-91344,
                  CVE-2026-91345, CVE-2026-91346, CVE-2026-91349,
                  CVE-2026-91350, CVE-2026-91351, CVE-2026-91352,
                  CVE-2026-91353, CVE-2026-91354, CVE-2026-91355,
                  CVE-2026-91358, CVE-2026-91404, CVE-2026-91405,
                  CVE-2026-91406, CVE-2026-91407, CVE-2026-91408,
                  CVE-2026-91419, CVE-2026-91457, CVE-2026-91458,
                  CVE-2026-91459, CVE-2026-91460, CVE-2026-91467,
                  CVE-2026-91473, CVE-2026-91475, CVE-2026-91483,
                  CVE-2026-91488, CVE-2026-91489, CVE-2026-91490,
                  CVE-2026-91491, CVE-2026-91492, CVE-2026-91493,
                  CVE-2026-91494, CVE-2026-91495, CVE-2026-91501,
                  CVE-2026-91502, CVE-2026-91504, CVE-2026-91536,
                  CVE-2026-91542, CVE-2026-91552, CVE-2026-91616,
                  CVE-2026-91617, CVE-2026-91668, CVE-2026-91776,
                  CVE-2026-101497, CVE-2026-101499, CVE-2026-101515,
                  CVE-2026-101520, CVE-2026-101568, CVE-2026-101569,
                  CVE-2026-101570, CVE-2026-101571, CVE-2026-101572,
                  CVE-2026-101573, CVE-2026-101574, CVE-2026-101575,
                  CVE-2026-101576, CVE-2026-101577, CVE-2026-101578,
                  CVE-2026-101579, CVE-2026-101580, CVE-2026-101581,
                  CVE-2026-101582, CVE-2026-101583, CVE-2026-101584,
                  CVE-2026-101585, CVE-2026-101586, CVE-2026-101587,
                  CVE-2026-101588, CVE-2026-101590
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Encoding or Escaping of Output
                  Out-of-bounds Read
                  Improper Neutralization of Input Terminators
                  Incomplete List of Disallowed Inputs
                  Improper Certificate Validation
                  Improper Validation of Certificate with Host Mismatch
                  Missing Authentication for Critical Function
                  Missing Support for Integrity Check
                  Improper Validation of Integrity Check Value
                  Covert Timing Channel
                  Deserialization of Untrusted Data
                  Allocation of Resources Without Limits or Throttling
                  Missing Release of Resource after Effective Lifetime
                  Out-of-bounds Write
                  Memory Allocation with Excessive Size Value
                  Incorrect Authorization
                  Improperly Controlled Modification of Dynamically-
                  Determined Object Attributes
                  Server-Side Request Forgery (SSRF)
                  Use of Unmaintained Third Party Components
                  Dependency on Vulnerable Third-Party Component
Uitgiftedatum   : 20261022
Toepassing      : Oracle Access Manager
                  Oracle Business Process Management Suite
                  Oracle Coherence
                  Oracle Data Integrator
                  Oracle Fusion Middleware
                  Oracle Fusion Middleware Common Libraries And Tools
                  Oracle Fusion Middleware Control
                  Oracle Fusion Middleware MapViewer
                  Oracle Global Lifecycle Management NextGen OUI
                  Framework
                  Oracle HTTP Server
                  Oracle Helidon
                  Oracle Identity Manager
                  Oracle Identity Manager (Application)
                  Oracle Identity Manager Connector
                  Oracle JDeveloper
                  Oracle Managed File Transfer
                  Oracle Middleware Common Libraries and Tools
                  Oracle Oracle Outside In Technology
                  Oracle SOA Suite
                  Oracle Service Bus
                  Oracle Web Services Manager
                  Oracle WebCenter Content
                  Oracle WebCenter Sites
                  Oracle WebLogic
                  Oracle WebLogic Server
                  Oracle Weblogic Server Proxy Plug-in
Versie(s)       :
Platform(s)     :

Beschrijving
   Oracle heeft meerdere kwetsbaarheden verholpen in diverse producten,
   waaronder Oracle SOA Suite, Oracle WebLogic Server, Oracle Data
   Integrator, Oracle Identity Manager, Oracle Access Manager, Oracle
   WebCenter Content, Oracle Fusion Middleware (inclusief Helidon) en
   Oracle HTTP Server.

   De kwetsbaarheden betreffen onder andere onveilige deserialisatie,
   onvoldoende authenticatie- en toegangscontroles, kwetsbaarheden in
   netwerkprotocollen zoals HTTP, HTTP/2, SOAP, T3, IIOP en LDAP, en
   fouten in cryptografische bibliotheken zoals Bouncy Castle en
   Jackson-databind. Aanvallers kunnen hierdoor onder meer:
   - Arbitrary code execution uitvoeren via crafted input of
   deserialisatieprocessen.
   - Volledige systeemcompromittering bereiken via netwerktoegang zonder
   authenticatie.
   - Ongeautoriseerde toegang verkrijgen tot gevoelige of kritieke data.
   - Data manipuleren, creëren, verwijderen of wijzigen zonder juiste
   rechten.
   - Denial-of-Service veroorzaken door resource-uitputting, crashes of
   hangs.
   - Privilege escalation uitvoeren binnen het systeem.
   - Cross-site scripting en spoofing aanvallen uitvoeren.
   - Kwetsbaarheden in authenticatie- en autorisatiemechanismen
   misbruiken.
   De kwetsbaarheden zijn aanwezig in specifieke versies van de genoemde
   Oracle producten en sommige onderliggende open source componenten die
   Oracle gebruikt. Exploitatie kan plaatsvinden via netwerktoegang,
   vaak zonder authenticatie, en in sommige gevallen is
   gebruikersinteractie vereist. Diverse kwetsbaarheden hebben een CVSS
   score tot 10.0, wat duidt op een hoog potentieel impactniveau. Er is
   (nog) geen specifieke proof-of-concept-code (PoC) bekend, maar de
   aard van de kwetsbaarheden maakt exploitatie mogelijk via gerichte
   netwerkverzoeken of gemanipuleerde data en het NCSC verwacht, vanwege
   de wijde verspreiding van deze producten, op korte termijn een
   toename in scan- en misbruikverkeer.

Mogelijke oplossingen
   Oracle heeft updates en patches uitgebracht voor de getroffen
   producten om de beschreven kwetsbaarheden te verhelpen. Gebruikers
   van de genoemde Oracle producten wordt geadviseerd de beschikbare
   updates te installeren om de beveiliging van hun systemen te
   waarborgen. Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://www.oracle.com/security-alerts/cpuoct2026.html

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=8KZR
-----END PGP SIGNATURE-----