Oracle Business Intelligence Enterprise Edition: Authentifizierungsumgehung mit Komplettübernahme
Zusammenfassung
Oracle Business Intelligence Enterprise Edition (Komponente Analytics Server) enthält eine Schwachstelle in der Authentifizierung, klassifiziert als CWE-287 (Improper Authentication). Ein entfernter Angreifer mit Netzwerkzugriff über HTTP und einem Konto mit niedrigen Berechtigungen kann sie ohne Benutzerinteraktion ausnutzen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme der BI-Installation führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen
- Oracle Business Intelligence Enterprise Edition, Komponente Analytics Server: Versionen 8.2.0.0.0 und 26.01.0.0.0 (gemäss CVE-Eintrag)
- Ob Version 12.2.1.4.0 betroffen ist, ist unbekannt; in der Risikomatrix von Oracles Oktober-2026-Advisory prüfen.
Behoben in
Unbekannt. In den verfügbaren Quellen wurde keine Patch-Nummer und kein korrigierter Build gefunden; Oracles Advisory zum Critical Patch Update vom Oktober 2026 prüfen.
Umgehung
Keine von Oracle in den verfügbaren Quellen dokumentiert.
- Übergangsmassnahmen (eigene Einschätzung, keine Herstellerempfehlung): HTTP-Zugriff auf BI-Endpunkte auf interne Netze oder VPN beschränken.
Ausnutzung
- Zum Zeitpunkt der Recherche sind keine Ausnutzungen bekannt; Oracles Advisory gibt keine Ausnutzung an.
- Laut Sekundärquelle nicht im CISA-KEV-Katalog per 21. Oktober 2026.
- Kein bestätigter öffentlicher Proof-of-Concept-Code.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- EPSS war im Vulners-Eintrag niedrig (0.00389).
Unsere Empfehlung
- Alle Oracle-BI-EE-Installationen inventarisieren und exakte Versionen erfassen, einschliesslich allfälliger 12.2.1.4.0-Instanzen.
- Prüfen, ob jede Installation aus dem Internet erreichbar ist, und den Zugriff auf interne Netze oder VPN beschränken.
- Den Patch vom Oktober 2026 für jede betroffene Version einspielen oder bei nicht mehr unterstützten Versionen ein Upgrade planen.
- Konten mit niedrigen Berechtigungen überprüfen und Web- und Authentifizierungslogs auf ungewöhnliche BI-Aktivitäten überwachen.
- CISA KEV und Oracle-Advisories regelmässig prüfen; die nächsten Oracle-Sicherheitspatch-Termine sind der 17. November und der 15. Dezember 2026.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert October 2026 CPU www.oracle.com
- Oracle Blog: October 2026 Critical Patch Update released blogs.oracle.com
- NVD record via Vulners vulners.com
- Oracle Security Alert September 2026 CPU www.oracle.com
- Brandefense: Oracle October 2026 CPU brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.