Oracle Essbase: Unzureichende Zugriffskontrolle in Essbase Web Platform
Zusammenfassung
Oracle Essbase in Version 21.8.3.0.0 enthält in der Komponente Essbase Web Platform eine Schwachstelle, die als unzureichende Zugriffskontrolle (CWE-284) eingestuft wird. Ein Angreifer mit Netzwerkzugriff über HTTP und einem Konto mit niedrigen Berechtigungen kann Essbase übernehmen, wobei sich die Auswirkungen auf weitere Produkte erstrecken können (Scope Change). Die Ausnutzung gilt aufgrund der hohen Angriffskomplexität als schwierig, der CVSS-Basiswert beträgt 8.5 (Hoch).
Betroffen
- Oracle Essbase 21.8.3.0.0 (Komponente Essbase Web Platform)
Behoben in
- Unbekannt. Prüfen Sie die Zeile für CVE-2026-91651 im Advisory des Oracle Critical Patch Update vom Oktober 2026.
Umgehung
- Unbekannt. Der CVE-Eintrag enthält keinen Workaround des Herstellers.
- Beschränken Sie den Zugriff auf die Essbase-Weboberfläche auf vertrauenswürdige Netzwerke oder VPN als allgemeine Massnahme.
Ausnutzung
- Nicht im KEV-Katalog der CISA aufgeführt.
- CISA-SSVC-Bewertung: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
- EPSS-Wert: 0.003.
- Kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung gefunden.
Unsere Empfehlung
- Prüfen Sie, ob Essbase oder eine Hyperion-Installation im Einsatz ist.
- Stellen Sie die Essbase-Weboberfläche nicht ins Internet.
- Beschränken Sie Konten auf das nötige Minimum und überprüfen Sie bestehende Konten.
- Installieren Sie die korrigierte Version, sobald sie im Oracle-Advisory bestätigt ist, und verfolgen Sie das Advisory.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: Critical Patch Update October 2026 www.oracle.com
- Oracle CVE-to-advisory mapping www.oracle.com
- VulDB: CVE-2026-91651 vuldb.com
- OpenCVE: CVE-2026-91651 app.opencve.io
- Vulners: CNNVD-2026-60213398 vulners.com
- Essbase 21c release notes docs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.