Oracle Essbase: Unzureichende Zugriffskontrolle erlaubt Angriffe ohne Authentifizierung über HTTP
Zusammenfassung
Eine Schwachstelle in der Security-Komponente von Oracle Essbase 21.8.3.0.0 erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff via HTTP, den Server zu kompromittieren. Erfolgreiche Angriffe können zu unautorisiertem Lesezugriff auf kritische Daten führen und in einigen Fällen zu unautorisiertem Ändern, Einfügen oder Löschen von Daten. Da sich der Scope ändert, können die Auswirkungen über Essbase hinaus auf weitere Produkte reichen.
Betroffen
- Oracle Essbase 21.8.3.0.0
- Keine weiteren betroffenen Versionen im CVE-Eintrag aufgeführt.
Behoben in
Unbekannt. Das Oracle Critical Patch Update vom Oktober 2026 (veröffentlicht am 20. Oktober 2026) enthält Essbase, die korrigierte Version für diese CVE ist jedoch nicht bestätigt.
Umgehung
- Im CVE-Eintrag keine bereitgestellt.
- Allgemeine Härtung bis zum Patch: Netzwerkzugriff auf den HTTP-Dienst von Essbase auf vertrauenswürdige Administrationsnetze beschränken.
Ausnutzung
- Aktiv ausgenutzt (in the Wild): nicht bekannt.
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung partial.
- Nicht in der CISA KEV-Liste aufgeführt.
- Kein öffentlicher Proof of Concept gefunden (Suche war begrenzt).
Unsere Empfehlung
- Alle Essbase-Instanzen inventarisieren, einschliesslich vom Hersteller oder Partner betriebener, und deren Versionen prüfen.
- Das Critical Patch Update vom Oktober 2026 bzw. den von Oracle empfohlenen Fix einspielen, sobald die korrigierte Version bestätigt ist.
- Bis zum Patch den Zugriff auf den HTTP-Dienst von Essbase aus dem Internet und aus weniger vertrauenswürdigen Netzen einschränken.
- Ungewöhnliche HTTP-Anfragen an Essbase überwachen und den Ausnutzungsstatus regelmässig neu prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle Security Blog: October 2026 Critical Patch Update released blogs.oracle.com
- VulDB CVE-2026-91644 vuldb.com
- OpenCVE CVE-2026-91644 app.opencve.io
- Vulners CVE-2026-91644 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.