Oracle BI Publisher: Open Redirect in BI Platform Security
Zusammenfassung
Eine Schwachstelle in der Komponente BI Platform Security von Oracle BI Publisher erlaubt einem nicht authentifizierten Angreifer mit HTTP-Netzwerkzugriff, die Anwendung zu kompromittieren, laut CNA. Für den Angriff ist eine Handlung einer anderen Person als des Angreifers nötig, etwa das Öffnen eines präparierten Links. Das CNA gibt einen CVSS-3.1-Basiswert von 8.8 an und beschreibt das mögliche Ergebnis als Übernahme der BI-Publisher-Instanz, die CWE lautet CWE-601 (Open Redirect).
Betroffen
- Oracle BI Publisher 8.2.0.0.0
- Oracle BI Publisher 12.2.1.4.0
- Oracle BI Publisher 26.01.0.0.0 (ein Oracle-Advisory führt dies als 26.1.0.0.0 auf; prüfen Sie den genauen Build, den Sie einsetzen)
Behoben in
Unbekannt. Wenden Sie das Oracle Critical Patch Update vom Oktober 2026 für BI Publisher an und bestätigen Sie den korrigierten Build im Advisory von Oracle und im Dokument zur Patch-Verfügbarkeit.
Umgehung
Unbekannt. Es wurde kein offizieller Workaround des Herstellers gefunden.
Ausnutzung
- Es wurden keine Ausnutzungen in freier Wildbahn gemeldet.
- Es ist kein öffentlicher Proof of Concept bekannt.
- Die SSVC-Daten im CVE-Eintrag weisen die Ausnutzung als none und die Automatisierbarkeit als no aus.
- Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Prüfen Sie, ob BI Publisher installiert ist und welche Version läuft.
- Prüfen Sie, ob die Weboberfläche von BI Publisher aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist, und behandeln Sie eine exponierte Instanz als dringlich.
- Spielen Sie das Oracle CPU vom Oktober 2026 mit dem korrigierten Build aus dem Advisory von Oracle ein. Patchen Sie nicht auf eine geratene Version.
- Entfernen Sie bis zum Patch die direkte Internetexposition, beschränken Sie den Zugriff auf interne Benutzer oder VPN-Benutzer, und warnen Sie Benutzer vor Links aus unerwarteten Quellen.
- Prüfen Sie die Webserver-Logs auf ungewöhnliche Anfragen an die Oberfläche von BI Publisher.
- Kontrollieren Sie den NVD-Eintrag und das Oracle-Advisory regelmässig, da der Eintrag noch im Status Awaiting Analysis war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
- NVD / CVE record via OpenCVE app.opencve.io
- Strix CVE details www.strix.ai
- VulDB entry vuldb.com
- Oracle Critical Patch Update October 2026 overview (Brandefense) brandefense.io
- Oracle Security Alerts index www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.