Oracle Business Intelligence Enterprise Edition: Privilege Escalation in Platform Security

Zusammenfassung

Oracle Business Intelligence Enterprise Edition in den Versionen 8.2.0.0.0 und 12.2.1.4.0 enthält eine Schwachstelle in der Komponente Platform Security. Ein Angreifer mit Anmeldezugriff auf die Infrastruktur, auf der das Produkt läuft, kann die BI-Plattform kompromittieren; der CVSS-3.1-Basiswert beträgt 7.8. Für den Angriff ist eine Benutzerinteraktion durch eine andere Person als den Angreifer nötig, und ein erfolgreicher Angriff kann zur vollständigen Übernahme des Produkts führen.

Betroffen

• Oracle Business Intelligence Enterprise Edition 8.2.0.0.0
• Oracle Business Intelligence Enterprise Edition 12.2.1.4.0
• Version 26.1.0.0.0 ist in der Produktliste der Oracle-CPU vom Oktober 2026 aufgeführt, für diese CVE jedoch nicht bestätigt.

Behoben in

Unbekannt. Behoben im Oracle Critical Patch Update vom Oktober 2026; die genauen Patch-Nummern stehen im Patch Availability Document für Oracle Analytics.

Umgehung

Unbekannt. Der CVE-Eintrag enthält keinen Workaround. Als Übergangsmassnahme den Anmeldezugriff auf den BI-Host und seine Infrastruktur einschränken.

Ausnutzung

• Nicht in der CISA KEV aufgeführt.
• CISA SSVC: Exploitation none, nicht automatisierbar, technische Auswirkung total.
• Zum Zeitpunkt der Recherche sind kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Prüfen, ob 8.2.0.0.0 oder 12.2.1.4.0 (oder 26.1.0.0.0) im Einsatz ist.
• Das Critical Patch Update für Oracle Analytics vom Oktober 2026 gemäss Patch Availability Document einspielen, nicht nur diese CVE.
• Bis zur Behebung den Anmeldezugriff auf den BI-Server und seine Management-Infrastruktur einschränken.
• CISA KEV und Oracle-Advisories auf Hinweise zur Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• VulDB entry for CVE-2026-91545 vuldb.com
• OpenCVE entry for CVE-2026-91545 app.opencve.io
• Vulners entry for CVE-2026-91545 vulners.com
• Strix entry for CVE-2026-91545 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:12.