Oracle Essbase: Unzureichende Zugriffskontrolle ermöglicht Kompromittierung über HTTP
Zusammenfassung
Oracle Essbase 21.8.3.0.0 enthält eine Schwachstelle in der Komponente Security (CWE-284, unzureichende Zugriffskontrolle), die über HTTP ausgenutzt werden kann. Ein Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen und Netzwerkzugriff kann die Vertraulichkeit, Integrität und Verfügbarkeit der Essbase-Daten beeinträchtigen und einen partiellen Denial of Service verursachen; die Auswirkungen reichen über Essbase hinaus (Scope Change). Es ist keine Benutzerinteraktion erforderlich. CVSS 3.1 Basisscore: 9.1 (kritisch).
Betroffen
- Oracle Essbase 21.8.3.0.0 (gemäss CVE-Eintrag und Oracle-Advisory)
- Andere Essbase-Versionen: Unbekannt.
Behoben in
- Behebung: Oracle Critical Patch Update vom Oktober 2026 (Essbase-Security-Patches).
- Konkrete Patch-Nummer und Fixversion für 21.8.3.0.0: Unbekannt. Patch-Details im Oracle-Advisory und in My Oracle Support prüfen.
- Das Release-Update-Patch vom August 2026 (39512186) ist für diese CVE nicht bestätigt als Behebung.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Bis zum Patch den Zugriff auf die HTTP-Schnittstellen von Essbase einschränken (Netzwerksegmentierung, Reverse Proxy oder reiner VPN-Zugriff).
- Konten mit niedrigen Berechtigungen überprüfen und reduzieren.
- Essbase-Logs überwachen.
- Dies sind allgemeine Härtungsmassnahmen und keine vom Hersteller bestätigten Massnahmen.
Ausnutzung
- CISA-SSVC-Daten: Exploitation none, Automatable no.
- Widersprüchliche Angabe: Eine Quelle nennt einen Eintrag im CISA-KEV-Katalog seit dem 23. Oktober 2026. Dies ist nicht bestätigt; im CISA-KEV-Katalog prüfen.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS unter 1%.
Unsere Empfehlung
- Das Critical Patch Update vom Oktober 2026 auf allen Essbase-Instanzen einspielen, nicht nur für diese CVE. Das gleiche CPU enthält weitere Essbase-Schwachstellen, darunter eine ohne Authentisierung mit Score 9.8.
- Den genauen Patch-Stand für 21.8.3.0.0 mit Oracle abklären.
- Prüfen, ob Essbase- oder WebLogic-HTTP-Endpunkte aus unvertrauten Netzwerken erreichbar sind, und den Zugriff einschränken.
- Konten mit Essbase-Zugriff prüfen und nicht benötigte entfernen.
- Essbase-Logs auf ungewöhnliche Zugriffe überwachen.
- Den KEV-Status im CISA-Katalog überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 www.oracle.com
- OpenCVE CVE-2026-91655 app.opencve.io
- Waratek: Oracle October 2026 CPU summary waratek.com
- CVE Brief (conflicting KEV claim) cvebrief.com
- TheHackerWire CVE-2026-91655 www.thehackerwire.com
- Oracle Essbase 21c release notes docs.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:41.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.