Oracle Essbase: Fehlende Authentifizierung ermöglicht Übernahme ohne Anmeldung
Zusammenfassung
Oracle Essbase 21.8.3.0.0 weist eine Schwachstelle in der Komponente Security auf (CWE-287, CWE-306), die einen Zugriff ohne Authentifizierung erlaubt. Ein Angreifer mit TCP-Netzwerkzugriff auf den Server kann Essbase ohne Zugangsdaten und ohne Benutzerinteraktion übernehmen. Oracle stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein, mit einem CVSS-Basiswert von 9.8. Essbase-Server sollten nicht aus dem Internet erreichbar sein.
Betroffen
- Oracle Essbase 21.8.3.0.0 (einzige Version im CVE-Eintrag und im Oktober-2026-CPU aufgeführt)
Behoben in
- Oracle Critical Patch Update Oktober 2026
- Patch-ID und korrigierte Version: Unbekannt, beides aus dem Advisory von Oracle entnehmen
Umgehung
- Unbekannt: Es ist kein Workaround des Herstellers dokumentiert.
- Bis zum Patch den Netzwerkzugriff auf den Essbase-Server einschränken und begrenzen, welche Hosts ihn erreichen können.
Ausnutzung
- In den geprüften Quellen (nur Sekundärquellen) nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Alle Essbase-Server inventarisieren, einschliesslich Planungs- und EPM-Installationen in Finanz- oder BI-Teams.
- Patch-ID und korrigierte Version im Advisory der Oracle-CPU vom Oktober 2026 bestätigen und den Patch zusammen mit den übrigen Essbase-Patches im gleichen Zyklus einspielen.
- Zugriff auf Essbase aus dem Internet, über VPNs und aus Cloud-Netzen bis zum Patch sperren.
- Auf einen öffentlichen PoC oder eine Aufnahme in den KEV-Katalog überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 CPU www.oracle.com
- OpenCVE: CVE-2026-91665 app.opencve.io
- TheHackerWire: CVE-2026-91665 www.thehackerwire.com
- Waratek: Oracle October 2026 Critical Patch Update waratek.com
- Vulners: CVE-2026-91665 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.