Oracle Business Intelligence Enterprise Edition: Übernahme über Analytics Web Administration

Zusammenfassung

Oracle Business Intelligence Enterprise Edition in den Versionen 8.2.0.0.0, 12.2.1.4.0 und 26.01.0.0.0 enthält eine Schwachstelle in der Komponente Analytics Web Administration, die mit CVSS 9.1 als kritisch eingestuft ist. Ein Angreifer mit Netzwerkzugriff über HTTP und hohen Berechtigungen kann das Produkt übernehmen; aufgrund der Scope-Änderung können auch andere Systeme betroffen sein. Der Angriff setzt Administrator-Zugangsdaten voraus, daher besteht das Hauptrisiko bei Installationen, deren Admin-Oberfläche aus dem Internet erreichbar ist oder schwache beziehungsweise gemeinsam genutzte Admin-Passwörter verwendet.

Betroffen

• Oracle Business Intelligence Enterprise Edition 8.2.0.0.0
• Oracle Business Intelligence Enterprise Edition 12.2.1.4.0
• Oracle Business Intelligence Enterprise Edition 26.01.0.0.0 (Oracle führt diese Version in den Sicherheitsmitteilungen von August und September 2026 als 26.1.0.0.0; die genaue Versionsbezeichnung auf dem installierten System prüfen)

Behoben in

Unbekannt. Die Korrekturen sind im Oracle Analytics Patch Availability Document aufgeführt, das aus der Sicherheitsmitteilung zum Critical Patch Update vom Oktober 2026 verlinkt ist. Patches werden nur für Versionen bereitgestellt, die durch Premier Support oder Extended Support abgedeckt sind.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Bis zum Patch gilt:

• Die Oberfläche Analytics Web Administration nicht aus dem Internet erreichbar machen und auf ein internes Admin-Netz oder VPN beschränken.
• Konten mit Administratorrechten reduzieren und, wo unterstützt, MFA erzwingen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden; das Fehlen ist nicht bestätigt.
• Gemeldet von Positive Technologies (PT-2026-119773).

Unsere Empfehlung

• Prüfen, ob Business Intelligence Enterprise Edition installiert ist, und die genaue Versionsbezeichnung festhalten.
• Mit den betroffenen Versionen vergleichen und den Oracle-Analytics-Patch aus dem CPU vom Oktober 2026 über My Oracle Support einspielen oder ein Upgrade planen, falls die Version nicht mehr unterstützt wird.
• Bis zum Patch sicherstellen, dass die Admin-Oberfläche nicht aus dem Internet erreichbar ist, und Admin-Zugriffsprotokolle auf unerwartete Aktivitäten prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
• Strix CVE summary www.strix.ai
• Vulners CVE record vulners.com
• OpenCVE CVE record app.opencve.io
• Oracle Security Alerts index www.oracle.com
• Oracle Security Alert: Critical Patch Update August 2026 www.oracle.com
• Tenable: Oracle October 2026 Critical Patch Update www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:44.