Oracle Business Intelligence Enterprise Edition: Fehlende Authentifizierung in Analytics Web General
Zusammenfassung
Oracle Business Intelligence Enterprise Edition in den Versionen 8.2.0.0.0, 12.2.1.4.0 und 26.01.0.0.0 enthält im Component Analytics Web General eine fehlende Authentifizierung. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff per HTTP kann die Schwachstelle mit geringer Komplexität ausnutzen. Erfolgreiche Angriffe können einen wiederholbaren Absturz oder Stillstand des Dienstes verursachen sowie begrenzten Lese- und Schreibzugriff auf zugängliche Daten ermöglichen (CVSS 3.1 Basiswert 8.6).
Betroffen
- Oracle Business Intelligence Enterprise Edition 8.2.0.0.0
- Oracle Business Intelligence Enterprise Edition 12.2.1.4.0
- Oracle Business Intelligence Enterprise Edition 26.01.0.0.0
Behoben in
Unbekannt. Oracle hat Korrekturen im Critical Patch Update vom Oktober 2026 veröffentlicht (publiziert am 20. Oktober 2026); die Patch-Nummern für jede Version müssen im Oracle-Advisory oder auf My Oracle Support bestätigt werden.
Umgehung
- Keine Workaround des Herstellers bekannt.
- Bis zur Installation des Patches den Netzwerkzugriff auf die BI-EE-Weboberfläche einschränken (keine direkte Exposition im Internet; VPN oder Reverse Proxy mit Zugriffskontrolle verwenden).
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt. Die CISA-SSVC-Daten geben die Ausnutzung als none und die Automatisierbarkeit als yes an.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- Waratek sind zum Zeitpunkt der Veröffentlichung keine öffentlichen Ausnutzungen von im Oktober-CPU behobenen Schwachstellen bekannt.
Unsere Empfehlung
- Alle BI-EE-Instanzen identifizieren, einschliesslich älterer Installationen 8.2 und 12.2.1.4.
- Prüfen, ob sie aus dem Internet erreichbar sind, und den Zugriff einschränken, sofern er nicht benötigt wird.
- Das Oracle Critical Patch Update vom Oktober 2026 für die eingesetzte Version installieren.
- Webserver-Logs seit dem 20. Oktober 2026 auf ungewöhnliche Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- VulDB CVE-2026-91534 vuldb.com
- OpenCVE CVE-2026-91534 app.opencve.io
- Threatint CVE-2026-91534 cve.threatint.com
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.