NCSC | Security Advisories
Bekijk RSS-feed

Security Advisories

Download

Security Advisory; NCSC-2026-0448 [1.0.0]

Security Advisory
NCSC-2026-0448 [1.0.0]
Publicatie
22-10-2026 11:49 (Europe/Amsterdam)
Prioriteit
Hoog
Betreft
Kwetsbaarheden verholpen in Oracle Fusion Middleware

Kenmerken

  • Improper Encoding or Escaping of Output
  • Out-of-bounds Read
  • Improper Neutralization of Input Terminators
  • Incomplete List of Disallowed Inputs
  • Improper Certificate Validation
  • Improper Validation of Certificate with Host Mismatch
  • Missing Authentication for Critical Function
  • Missing Support for Integrity Check
  • Improper Validation of Integrity Check Value
  • Covert Timing Channel
  • Deserialization of Untrusted Data
  • Allocation of Resources Without Limits or Throttling
  • Missing Release of Resource after Effective Lifetime
  • Out-of-bounds Write
  • Memory Allocation with Excessive Size Value
  • Incorrect Authorization
  • Improperly Controlled Modification of Dynamically-Determined Object Attributes
  • Server-Side Request Forgery (SSRF)
  • Use of Unmaintained Third Party Components
  • Dependency on Vulnerable Third-Party Component

Omschrijving

Oracle heeft meerdere kwetsbaarheden verholpen in diverse producten, waaronder Oracle SOA Suite, Oracle WebLogic Server, Oracle Data Integrator, Oracle Identity Manager, Oracle Access Manager, Oracle WebCenter Content, Oracle Fusion Middleware (inclusief Helidon) en Oracle HTTP Server.

De kwetsbaarheden betreffen onder andere onveilige deserialisatie, onvoldoende authenticatie- en toegangscontroles, kwetsbaarheden in netwerkprotocollen zoals HTTP, HTTP/2, SOAP, T3, IIOP en LDAP, en fouten in cryptografische bibliotheken zoals Bouncy Castle en Jackson-databind. Aanvallers kunnen hierdoor onder meer:

  • Arbitrary code execution uitvoeren via crafted input of deserialisatieprocessen.
  • Volledige systeemcompromittering bereiken via netwerktoegang zonder authenticatie.
  • Ongeautoriseerde toegang verkrijgen tot gevoelige of kritieke data.
  • Data manipuleren, creëren, verwijderen of wijzigen zonder juiste rechten.
  • Denial-of-Service veroorzaken door resource-uitputting, crashes of hangs.
  • Privilege escalation uitvoeren binnen het systeem.
  • Cross-site scripting en spoofing aanvallen uitvoeren.
  • Kwetsbaarheden in authenticatie- en autorisatiemechanismen misbruiken.

De kwetsbaarheden zijn aanwezig in specifieke versies van de genoemde Oracle producten en sommige onderliggende open source componenten die Oracle gebruikt. Exploitatie kan plaatsvinden via netwerktoegang, vaak zonder authenticatie, en in sommige gevallen is gebruikersinteractie vereist. Diverse kwetsbaarheden hebben een CVSS score tot 10.0, wat duidt op een hoog potentieel impactniveau. Er is (nog) geen specifieke proof-of-concept-code (PoC) bekend, maar de aard van de kwetsbaarheden maakt exploitatie mogelijk via gerichte netwerkverzoeken of gemanipuleerde data en het NCSC verwacht, vanwege de wijde verspreiding van deze producten, op korte termijn een toename in scan- en misbruikverkeer.

Oplossingen

Oracle heeft updates en patches uitgebracht voor de getroffen producten om de beschreven kwetsbaarheden te verhelpen. Gebruikers van de genoemde Oracle producten wordt geadviseerd de beschikbare updates te installeren om de beveiliging van hun systemen te waarborgen. Zie bijgevoegde referenties voor meer informatie.

Referenties

CVE's

Producten

Oracle
Access Manager
Business Process Management Suite
Coherence
Data Integrator
Fusion Middleware
Fusion Middleware Common Libraries And Tools
Fusion Middleware Control
Fusion Middleware MapViewer
Global Lifecycle Management NextGen OUI Framework
HTTP Server
Helidon
Identity Manager
Identity Manager (Application)
Identity Manager Connector
JDeveloper
Managed File Transfer
Middleware Common Libraries and Tools
Oracle Outside In Technology
SOA Suite
Service Bus
Web Services Manager
WebCenter Content
WebCenter Sites
WebLogic
WebLogic Server
Weblogic Server Proxy Plug-in

Disclaimer

The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions: NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein. NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory. This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings.