Oracle Business Intelligence Enterprise Edition: Kompromittierung über BI-Search-Komponente
Zusammenfassung
Eine Schwachstelle in der BI-Search-Komponente von Oracle Business Intelligence Enterprise Edition (Teil von Oracle Analytics) erlaubt einem Angreifer mit Netzwerkzugriff über HTTP, das System zu kompromittieren. Für den Angriff genügen niedrige Berechtigungen, eine Benutzerinteraktion ist nicht nötig. Gemäss CVE-Eintrag kann ein erfolgreicher Angriff zur vollständigen Übernahme führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1 Basiswert 8.8).
Betroffen
- Oracle Business Intelligence Enterprise Edition 8.2.0.0.0
- Oracle Business Intelligence Enterprise Edition 12.2.1.4.0
- Oracle Business Intelligence Enterprise Edition 26.01.0.0.0
Behoben in
Unbekannt. Die korrigierten Versionen und Patch-Kennungen wurden in den geprüften Quellen nicht bestätigt. Prüfen Sie das Advisory des Oracle Critical Patch Update vom Oktober 2026 und My Oracle Support.
Umgehung
Unbekannt. Der CVE-Eintrag nennt keine Gegenmassnahme, und das Advisory von Oracle wurde nicht geprüft.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen Sie, ob eine Instanz von Business Intelligence Enterprise Edition in den Versionen 8.2.0.0.0, 12.2.1.4.0 oder 26.01.0.0.0 läuft, auch in Legacy- oder vom Dienstleister betriebenen Systemen.
- Installieren Sie das Oracle Critical Patch Update vom Oktober 2026, sobald die Korrektur für Ihre Version bestätigt ist.
- Beschränken Sie bis zur Installation den Zugriff auf die BI-Weboberfläche auf interne Netze oder VPN und setzen Sie sie nicht direkt dem Internet aus.
- Überprüfen Sie, welche Konten sich anmelden können, und entfernen Sie nicht benötigte Konten.
- Überwachen Sie die BI-Serverprotokolle auf ungewöhnliche HTTP-Aktivitäten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- Vulners: CVE-2026-91535 vulners.com
- OpenCVE: CVE-2026-91535 app.opencve.io
- VulDB: CVE-2026-91535 entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.