Oracle Essbase: Autorisierungsfehler ermöglicht Übernahme über HTTP
Zusammenfassung
Oracle Essbase 21.8.3.0.0 enthält einen Fehler in der Komponente Security (CWE-284, unzureichende Zugriffskontrolle). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt kompromittieren, wobei sich die Auswirkungen über Essbase hinaus erstrecken können (Scope Change). Oracle stuft die Schwachstelle mit 9.9 als kritisch ein, und das Advisory weist zum Zeitpunkt der Veröffentlichung auf keine bekannte Ausnutzung hin.
Betroffen
- Oracle Essbase 21.8.3.0.0
- Frühere Versionen: Unbekannt.
Behoben in
- Behoben im Oracle Critical Patch Update vom Oktober 2026. Genaue Patch-Kennung und behobene Versionsnummer: Unbekannt. Oracle-Advisory und My Oracle Support (Doc ID CPU289) prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Zusätzliche Risikoreduktion (keine Herstellerempfehlung): HTTP-Zugriff auf Essbase auf vertrauenswürdige interne Netze beschränken und jegliche Internetexposition entfernen.
Ausnutzung
- Nicht im CISA-KEV-Katalog enthalten.
- CISA SSVC: Ausnutzung none, nicht automatisierbar.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
- Oracle erwähnt im Advisory keine Ausnutzung.
Unsere Empfehlung
- Den Oracle-Patch des Critical Patch Update vom Oktober 2026 für Essbase prioritär einspielen, sofern das Produkt im Einsatz ist.
- Prüfen, ob Essbase installiert ist und ob die HTTP-Schnittstelle von ausserhalb des internen Netzes erreichbar ist.
- Konten mit niedrigen Berechtigungen, die sich anmelden können, überprüfen und nicht benötigte entfernen.
- Verwandte CVEs desselben CPU (z. B. CVE-2026-91637, CVE-2026-91658) gemeinsam patchen.
- Falls Essbase nicht genutzt wird, sicherstellen, dass es nicht installiert ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- Oracle Essbase 21.8.3 is now available blogs.oracle.com
- Oracle Security Blog: October 2026 CPU released blogs.oracle.com
- OpenCVE: CVE-2026-91638 app.opencve.io
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.