Oracle Essbase: Rechteausweitung und Datenzugriff über Essbase Web Platform
Zusammenfassung
Oracle Essbase, eine Analyse- und multidimensionale Datenbank, ist in der Komponente Essbase Web Platform in der Version 21.8.3.0.0 laut Oracle betroffen. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen und Netzwerkzugriff über HTTP kann das Produkt kompromittieren und erhält so unautorisierten lesenden Zugriff auf kritische Daten sowie eingeschränkten unautorisierten Schreib-, Einfüge- oder Löschzugriff. Der Scope ist verändert, daher kann sich die Auswirkung auf weitere Produkte erstrecken; es ist keine Benutzerinteraktion erforderlich.
Betroffen
- Oracle Essbase, Komponente Essbase Web Platform, unterstützte Version 21.8.3.0.0
- Betroffene Versionen über 21.8.3.0.0 werden in den geprüften Quellen nicht genannt
Behoben in
Unbekannt. Prüfen Sie den Abschnitt zu Essbase im Oracle Critical Patch Update vom Oktober 2026 auf die korrigierte Version und Patch-ID.
Umgehung
Unbekannt. Für diese CVE wurde kein von Oracle veröffentlichter Workaround gefunden.
Ausnutzung
- Kein Hinweis auf Ausnutzung in freier Wildbahn zum Zeitpunkt der Recherche gefunden
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
- Kein öffentlicher Proof-of-Concept gefunden; Fehlen nicht bestätigt
- Eintrag im CISA-KEV-Katalog nicht direkt geprüft
Unsere Empfehlung
- Den Oracle Critical Patch Update für Essbase vom Oktober 2026 einspielen, sobald die korrigierte Version bestätigt ist; CVE-2026-91651 (gleiche Komponente) gemeinsam patchen
- Die Essbase-Weboberfläche nicht dem Internet aussetzen; den Zugriff auf interne Netze oder VPN beschränken
- Starke Authentifizierung durchsetzen und Konten mit niedrigen Berechtigungen überprüfen
- Logs auf ungewöhnlichen Zugriff auf Essbase-Daten überwachen und den CISA-KEV-Katalog regelmässig prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alerts - October 2026 CPU www.oracle.com
- Oracle October 2026 CPU release blog blogs.oracle.com
- OpenCVE CVE-2026-91653 app.opencve.io
- Strix CVE-2026-91653 www.strix.ai
- Waratek October 2026 CPU analysis waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.