Oracle Essbase: Unzureichende Zugriffskontrolle in der Security-Komponente
Zusammenfassung
Oracle Essbase 21.8.3.0.0, ein OLAP-Analyseserver, der typischerweise für Finanz- und Planungsaufgaben eingesetzt wird, enthält in der Security-Komponente eine unzureichende Zugriffskontrolle (CVE-2026-91658, CVSS 9.9). Ein Angreifer mit einem Konto mit niedrigen Privilegien und Netzwerkzugriff über HTTP kann den Server übernehmen, und durch die Scope-Änderung können sich die Auswirkungen auf weitere Produkte ausweiten. Zum Zeitpunkt der Veröffentlichung ist keine aktive Ausnutzung und kein öffentlicher Proof of Concept bekannt.
Betroffen
- Oracle Essbase 21.8.3.0.0
Behoben in
- Oracle Critical Patch Update (CPU) vom Oktober 2026, veröffentlicht am 20. Oktober 2026
- Patch-ID: Unbekannt. Die Patch-ID für Essbase im Advisory von Oracle prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt. Das Einspielen des Patches ist die Massnahme.
- Allgemeine Härtung (für diese CVE nicht verifiziert): HTTP-Zugriff auf den Essbase-Server auf vertrauenswürdige Netze oder VPN beschränken und Konten mit Zugriff überprüfen.
Ausnutzung
- Nicht im Katalog der CISA Known Exploited Vulnerabilities (KEV) aufgeführt.
- Kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Exploitation none, nicht automatisierbar.
- EPSS-Wert: 0.00286.
Unsere Empfehlung
- Prüfen, ob Essbase 21.8.3.0.0 und wo es eingesetzt wird, insbesondere in Finanz- oder Planungsumgebungen.
- Den Patch aus dem CPU vom Oktober 2026 einspielen, nachdem die Patch-ID im Advisory von Oracle bestätigt wurde.
- Bis zum Patch den HTTP-Zugriff auf vertrauenswürdige Netze beschränken und Konten mit niedrigen Privilegien überprüfen.
- Auf Änderungen beim KEV-Status oder auf öffentlich verfügbaren PoC-Code achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91658 app.opencve.io
- Vulners: CVE-2026-91658 vulners.com
- TheHackerWire: CVE-2026-91658 www.thehackerwire.com
- Waratek: October 2026 Critical Patch Update waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.