Oracle Essbase: Zugriffskontrollfehler ermöglicht Übernahme über TCP
Zusammenfassung
Oracle Essbase Version 21.8.3.0.0 ist von einer Sicherheitslücke in der Komponente Security betroffen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über TCP kann den Server kompromittieren, was laut Oracle und CVE-Eintrag eine mögliche Übernahme mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bedeutet. Die Ausnutzung gilt als schwierig (hohe Angriffskomplexität).
Betroffen
- Oracle Essbase 21.8.3.0.0 (gemäss CVE-Eintrag und NVD-CPE-Zuordnung)
Behoben in
Unbekannt. Den Abschnitt zu Essbase im Oracle Critical Patch Update Advisory – October 2026 (https://www.oracle.com/security-alerts/cpuoct2026.html) prüfen, um die korrigierte Version und die Patch-Kennung zu erfahren.
Umgehung
Unbekannt. Der CVE-Eintrag enthält keine Workaround-Massnahme.
Ausnutzung
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden
- Laut OpenCVE nicht im CISA-KEV-Katalog; vor dem Schliessen erneut prüfen
Unsere Empfehlung
- Prüfen, ob eine Essbase-Instanz existiert und ob sie aus dem Internet erreichbar ist, auch über VPN oder Fernzugriff
- Netzwerkzugriff auf Essbase und dessen TCP-/WebLogic-Ports auf bekannte Applikationsserver und Admin-Netze beschränken
- Den Essbase-Fix aus dem Critical Patch Update vom Oktober 2026 einspielen, sobald die korrigierte Version im Advisory von Oracle bestätigt ist
- KEV-Katalog und Herstellermeldungen auf Änderungen überwachen
- Falls Essbase nicht genutzt wird, ist abgesehen von dieser Bestätigung keine Massnahme nötig.
- Nicht verifiziert: ob für den Patch ein Supportvertrag nötig ist.
- Nicht verifiziert: die genaue Rolle von Essbase in Ihrer Umgebung.
- Hinweis: Dieser Punkt hat nur dann hohe Priorität, wenn Essbase exponiert ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
- NVD / vuln record via OpenCVE app.opencve.io
- VulDB CVE-2026-91647 vuldb.com
- Vulners CVE-2026-91647 vulners.com
- Waratek: Oracle October 2026 CPU waratek.com
- Brandefense: Oracle October 2026 CPU brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.