Oracle Business Intelligence: Fehlende Authentifizierung in BI Foundation
Zusammenfassung
Oracle Business Intelligence Enterprise Edition 12.2.1.4.0 enthält im Bestandteil BI Foundation eine Schwachstelle, bei der eine kritische Funktion ohne Authentifizierung zugänglich ist (CWE-306). Ein entfernter, nicht authentifizierter Angreifer mit HTTP-Zugriff auf den Server kann das Produkt kompromittieren, was laut Oracle eine Übernahme des Systems ermöglichen kann. Der Angriff ist schwierig durchzuführen (hohe Angriffskomplexität), und CVSS 3.1 bewertet die Schwachstelle mit 8.1.
Betroffen
- Oracle Business Intelligence Enterprise Edition 12.2.1.4.0
Behoben in
Unbekannt. Die Korrektur sollte im Critical Patch Update von Oracle vom Oktober 2026 enthalten sein. Prüfen Sie das Oracle-Advisory und das Patch Availability Document auf die Patch-Nummer.
Umgehung
In den geprüften Quellen wurde keine Massnahme gefunden.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Nicht im Katalog CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
- Gemeldet von Positive Technologies (PT-2026-120051).
Unsere Empfehlung
- Prüfen Sie, ob Oracle BI 12.2.1.4.0 in Ihrer Umgebung installiert ist, einschliesslich der Komponente Analytics Server.
- Prüfen Sie, ob die BI-Weboberfläche aus dem Internet erreichbar ist. Falls ja, beschränken Sie den Zugriff bis zur Installation des Patches.
- Installieren Sie den Oracle-Patch vom Oktober 2026 für 12.2.1.4.0 und verifizieren Sie den Patch-Stand.
- Beobachten Sie Oracle-Updates und Neueinträge im CISA KEV-Katalog.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- OpenCVE: CVE-2026-91546 app.opencve.io
- Vulners: CVE-2026-91546 vulners.com
- Strix: CVE-2026-91546 www.strix.ai
- Oracle Business Intelligence 12.2.1.4 Downloads www.oracle.com
- Vulners: CVE-2026-91549 (same CPU batch) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.