Oracle Business Intelligence Enterprise Edition: Kompromittierung durch Analytics-Server-Lücke
Zusammenfassung
Oracle Business Intelligence Enterprise Edition, Komponente Analytics Server, in den Versionen 8.2.0.0.0 und 12.2.1.4.0 ist betroffen. Ein nicht authentifizierter Angreifer, der bereits Logon auf die Infrastruktur hat, auf der das Produkt läuft, kann es kompromittieren; ein erfolgreicher Angriff kann zur Übernahme des Produkts führen. Für den Angriff ist die Interaktion einer anderen Person als des Angreifers nötig. Der CNA-Eintrag bewertet den CVSS-3.1-Basiswert mit 7.8 (hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit). Die CWE ist im CNA-Eintrag als CWE-601 angegeben, Drittquellen nennen eine andere CWE, weshalb dies noch zu prüfen ist.
Betroffen
- Oracle Business Intelligence Enterprise Edition 8.2.0.0.0 (Analytics Server)
- Oracle Business Intelligence Enterprise Edition 12.2.1.4.0 (Analytics Server)
- Version 26.01.0.0.0: im CNA-Eintrag nicht aufgeführt; im Oracle-Advisory prüfen
Behoben in
Unbekannt. Für die korrigierten Builds den Oracle Critical Patch Update vom Oktober 2026 und dessen Patch Availability Document für Oracle Analytics prüfen.
Umgehung
Kein Workaround dokumentiert.
- Bis zur Korrektur die Anmeldung auf dem BI-Server und dessen Host einschränken.
Ausnutzung
- Keine bekannte Ausnutzung.
- Nicht in der CISA-KEV-Liste.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Die korrigierten Builds für 8.2.0.0.0 und 12.2.1.4.0 im Oracle-Advisory vom Oktober 2026 bestätigen und die Risikomatrix für diese CVE prüfen.
- Prüfen, ob BI Publisher auf denselben Servern läuft; falls ja, CVE-2026-91554 (nicht authentifizierter Netzwerkangriff auf BI Publisher) priorisieren.
- Anmeldung und Administrationszugriff auf BI-Hosts einschränken und diese nicht öffentlich erreichbar halten.
- Alle Oracle-BI-Komponenten gemeinsam patchen und die endgültige CWE und den CVSS-Wert in der NVD prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- Oracle Critical Patch Update September 2026 (Patch Availability Document reference) www.oracle.com
- Vulners CVE record vulners.com
- OpenCVE CVE record app.opencve.io
- VulDB CVE record vuldb.com
- Strix CVE record www.strix.ai
- Vulners CVE-2026-91554 (related BI Publisher flaw) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.