Oracle Essbase: Unzureichende Zugriffskontrolle ermöglicht Übernahme
Zusammenfassung
Oracle Essbase 21.8.3.0.0 enthält eine Schwachstelle in der Komponente Security, die über das Netzwerk über die Protokolle T3 und IIOP ohne Authentifizierung erreichbar ist. Ein erfolgreicher Angreifer kann die Essbase-Instanz übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Angriffskomplexität wird als hoch eingestuft, weshalb bestimmte Bedingungen erfüllt sein müssen. Oracle behebt das Problem im Critical Patch Update vom Oktober 2026.
Betroffen
- Oracle Essbase 21.8.3.0.0 (gemäss CNA-Eintrag; andere Versionszweige sind nicht angegeben)
Behoben in
- Unbekannt. Die korrigierte Version und die Patch-ID sind der Essbase Risk Matrix im Critical Patch Update von Oracle vom Oktober 2026 zu entnehmen.
Umgehung
- Im CVE-Eintrag wird kein Workaround angegeben. - Provisorische Massnahme (Empfehlung, nicht aus einer Herstellerquelle): Essbase und dessen T3/IIOP-Listener auf benötigte interne Hosts beschränken und bis zur Installation des Patches aus dem Internet blockieren.
Ausnutzung
- Kein öffentlicher Proof of Concept bekannt. - Nicht in CISA KEV aufgeführt. - CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Oracle Essbase installiert ist, einschliesslich Version 21.8.3.0.0. - Prüfen, dass die T3- und IIOP-Ports nicht aus dem Internet erreichbar sind. - Patch-ID dem Critical Patch Update von Oracle vom Oktober 2026 entnehmen und einspielen, dabei zuerst Systeme mit Internetexposition priorisieren. - Das gesamte Essbase-Set aus demselben CPU patchen, nicht nur diese CVE. - NVD für die endgültigen CWE- und CVSS-Daten erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- VulDB - CVE-2026-91635 vuldb.com
- OpenCVE - CVE-2026-91635 app.opencve.io
- VulDB - Exploit status entry 424446 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.