Fehler in Enterprise Application Suite wird bereits durch exploit probes getestet
Die Enterprise Application Suite (EBS), eine Sammlung von Anwendungen zur Verwaltung von Geschäftsabläufen und Datensätzen, ist ersten exploit probes ausgesetzt, die auf CVE-2026-101767 abzielen. Dabei handelt es sich um eine kürzlich gepatchte Schwachstelle, die zu remote code execution führen kann, sodass ein Angreifer Befehle auf dem betroffenen Anwendungshost ausführen kann. Das Threat-Intelligence-Unternehmen Defused Cyber teilte mit, seine Ködersysteme hätten am Morgen des 27. Oktober explorative Ausnutzungsversuche aufgezeichnet, nur wenige Tage nachdem der Anbieter den Fehler mit seinem Critical Patch Update behoben hatte. Die Aktivität zeigt, dass Angreifer bereits erreichbare Systeme testen. Die gemeldeten probes allein belegen jedoch nicht, dass eine Kundenumgebung erfolgreich kompromittiert wurde.
Die Schwachstelle betrifft die Application Object Library in der Enterprise Application Suite (EBS), einer Sammlung von Unternehmensanwendungen zur Verwaltung von Geschäftsprozessen. Sie hat eine Bewertung von 9,8 im Common Vulnerability Scoring System (CVSS) und liegt damit im kritischen Bereich. Der Anbieter beschreibt die zugrunde liegende Schwäche als fehlerhafte Authentifizierung, bei der ein System nicht korrekt prüft, ob eine Anfrage zugelassen werden sollte. Ein Forschungsteam von Horizon3.ai entdeckte den Fehler und meldete ihn dem Anbieter am 24. Juli 2026.
Horizon3.ai identifizierte das technische Problem als nicht authentifizierte SQL injection im Thin Client Framework (TCF) servlet. SQL injection ist ein Fehler, durch den eine speziell präparierte Anfrage in die an eine Datenbank gesendeten Befehle eingreifen kann, während ein servlet eine Komponente einer Webanwendung ist, die Anfragen empfängt und verarbeitet. Ein Angreifer, der die anfällige Komponente unter "/OA_HTML/AppsTCFServer" erreichen kann, kann eine speziell formulierte Anfrage übermitteln, ohne sich zuvor anzumelden. Diese Anfrage kann Datenbankbefehle mit den Berechtigungen des APPS-Datenbankbenutzers ausführen, eines leistungsfähigen EBS-Kontos mit Zugriff auf Anwendungsdaten.
Die Forscher stellten fest, dass sich der Datenbankzugriff mit der Ausführung von Betriebssystembefehlen verketten lässt. In dieser Abfolge führt der Angreifer zunächst SQL als APPS-Benutzer aus und veranlasst anschließend, dass Befehle unter dem EBS-Anwendungskonto auf dem Host ausgeführt werden. Eine erfolgreiche Ausnutzung könnte es somit ermöglichen, für APPS verfügbare Informationen zu lesen oder zu ändern und Befehle auf dem Anwendungssystem auszuführen. Horizon3.ai zufolge können die offengelegten Datensätze Finanz-, Lohn- und Gehalts-, Personal- sowie Beschaffungsdaten umfassen, je nachdem, wie die Organisation EBS eingerichtet hat. Die einem Angreifer möglichen Betriebssystemaktionen wären durch die Berechtigungen begrenzt, die dem kompromittierten Anwendungskonto zugewiesen sind.
Mit dem Internet verbundene EBS-Installationen sind am deutlichsten gefährdet, da Angreifer versuchen können, das anfällige servlet direkt zu kontaktieren. Ein intern gehostetes System ist jedoch nicht automatisch sicher. Horizon3.ai warnte, dass eine interne Bereitstellung weiterhin von einem bereits kompromittierten Rechner oder einem anderen Netzwerksegment aus erreichbar sein kann, das eine Verbindung zum servlet herstellen darf. Für Hosting- und IT-Teams lautet die praktische Frage daher nicht nur, ob EBS öffentlich erreichbar ist, sondern auch, welche Systeme und Netzwerke Anfragen an dessen web tier senden können.
Administratoren der Enterprise Application Suite wird empfohlen, das neueste verfügbare Update so schnell wie möglich zu installieren. Wenn ein sofortiges Patchen nicht möglich ist, empfiehlt Horizon3.ai, den mit der SocketServer-Komponente verbundenen Pfad "/OA_HTML/AppsTCFServer" aus der EBS URL firewall allowlist zu entfernen. Eine allowlist legt fest, welche Webadressen eine Filterkontrolle passieren dürfen. Administratoren können außerdem den EBS web tier auf vertrauenswürdige Netzwerke beschränken und sowohl den Anwendungshost als auch dessen Datenbank auf Hinweise auf eine Ausnutzung überwachen. Diese Maßnahmen verringern die Gefährdung, ersetzen jedoch nicht das Sicherheitsupdate.
Horizon3.ai veröffentlichte außerdem mehrere indicators of compromise, also technische Anzeichen, die auf einen versuchten oder erfolgreichen Missbrauch hinweisen können. Verteidiger sollten nach nicht authentifizierten POST requests an "/OA_HTML/AppsTCFServer" suchen, die die als GanttDataServer bekannte Gantt data-server class instanziieren und auf die anschließend Datenbankaktivitäten folgen. Weitere Warnzeichen sind Erkundungsaktivitäten in der Datenbank kurz nach einer nicht authentifizierten Webanfrage, beispielsweise Abfragen nach der Datenbankversion, dem aktuellen Benutzer oder Verzeichnisobjekten. Unerwartete Dateien in "$APPLPTMP" sind ein weiterer Hinweis, ebenso wie das Starten von "/bin/sh" durch das Anwendungskonto über den Concurrent Manager, um Betriebssystembefehle auszuführen.
Die neuen probes folgen auf die aktive Ausnutzung zweier weiterer kritischer EBS-Schwachstellen im vergangenen Jahr. CVE-2025-61882 und CVE-2026-46817 haben beide CVSS-Bewertungen von 9,8. Die Ransomware- und Erpressergruppe Cl0p nutzte CVE-2025-61882 aus. Dies verdeutlicht, warum Organisationen, die sensible betriebliche Datensätze verwahren, neu bekannt gegebene EBS-Schwachstellen umgehend beachten müssen.
Unternehmen, die bei diesen Aufgaben umfassendere Unterstützung benötigen, können AEU-I in Betracht ziehen, das IT, Infrastruktur und Beratung mit einem konsequenten Sicherheitsfokus anbietet. Für betroffene Organisationen bleiben die unmittelbaren Prioritäten, das Update des Anbieters einzuspielen, den Zugriff auf das anfällige servlet zu beschränken und die aufgeführten indicators of compromise zu überprüfen, ohne davon auszugehen, dass eine interne Bereitstellung nicht erreichbar sei.