Oracle Business Intelligence Enterprise Edition: Unzureichende Zugriffskontrolle
Zusammenfassung
Oracle Business Intelligence Enterprise Edition (OBIEE) in den Versionen 8.2.0.0.0 und 26.01.0.0.0 ist von einer Schwachstelle in der Zugriffskontrolle der Komponente Platform Security betroffen (CWE-284). Oracle und der CNA bewerten sie mit 8.3 (hoch) mit Scope Change. Ein nicht authentifizierter Angreifer, der Zugriff auf das physische Kommunikationssegment der Hardware hat, auf der OBIEE läuft, kann die Anwendung übernehmen und möglicherweise andere Produkte beeinflussen. Die Ausnutzung gilt als schwierig, und VulDB bewertet die Schwachstelle mit 5.3, weshalb die Einstufung je nach Quelle unterschiedlich ausfällt.
Betroffen
- 8.2.0.0.0
- 26.01.0.0.0
- Version 12.2.1.4.0 ist für diese CVE nicht aufgeführt. Gehen Sie nicht davon aus, dass sie nicht betroffen ist, ohne das Advisory von Oracle zu prüfen.
Behoben in
Unbekannt. Die Patches sind Teil des Critical Patch Update von Oracle vom Oktober 2026 (Rev 2, 26. Oktober 2026). Exakte Patch-Nummern und fixe Versionsbezeichnungen sind nicht bestätigt.
Umgehung
Unbekannt. Weder der CVE-Eintrag noch Oracle veröffentlichen eine Massnahme. Bis zum Patch sollten Sie einschränken, welche Hosts ein Netzwerksegment mit dem OBIEE-Server teilen (dies ist eine Empfehlung, keine Herstellervorgabe).
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung none, nicht automatisierbar.
- VulDB: kein öffentlicher Exploit und keine öffentlichen technischen Details.
- EPSS: 0.0019.
- Keine Meldungen über Ausnutzung in freier Wildbahn.
Unsere Empfehlung
- Prüfen Sie, ob OBIEE eingesetzt wird und welche Versionen laufen, inklusive 12.2.1.4.0.
- Spielen Sie das Critical Patch Update von Oracle vom Oktober 2026 ein, sofern Sie einen gültigen Supportvertrag haben; planen Sie für nicht unterstützte Installationen einen Upgrade-Pfad.
- Betreiben Sie den OBIEE-Server in einem segmentierten Netzwerk und beschränken Sie Zugriffe von Benutzer-, Gast- und IoT-Geräten.
- Überwachen Sie den Server und sein Netzwerksegment bis zum Patch auf ungewöhnliche Aktivitäten.
- Erhöhen Sie die Priorität auf hoch, wenn der Server in einem flachen LAN steht oder sensible Berichte enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE entry CVE-2026-91597 app.opencve.io
- VulDB entry 424420 vuldb.com
- Vulners entry CVE-2026-91597 vulners.com
- Tenable plugin pipeline issue 234554 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.