Критическая уязвимость CVE-2026-83305 в Oracle BI Publisher

Компания Oracle выпустила информацию об уязвимости в Oracle BI Publisher — продукте из состава Oracle Analytics, отвечающем за подготовку и распространение отчётов. CVE-2026-83305 относится к компоненту BI Platform Security и представляет серьёзную угрозу для организаций, использующих эту платформу в корпоративной отчётности.

Подробности

Уязвимости подвержены поддерживаемые версии Oracle BI Publisher 8.2.0.0.0, 12.2.1.4.0 и 26.01.0.0.0. По классификации CVSS 3.1 базовый балл составляет 8.6 (HIGH), вектор — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L.

Уязвимость характеризуется как легко эксплуатируемая. Атакующему не требуется аутентификация: достаточно сетевого доступа по HTTP и отсутствия взаимодействия с пользователем. Успешная эксплуатация даёт возможность:

• несанкционированного доступа к критичным данным или полного доступа ко всем данным, доступным через Oracle BI Publisher (высокое влияние на конфиденциальность);
• несанкционированного обновления, вставки или удаления части данных (низкое влияние на целостность);
• частичного отказа в обслуживании (partial DoS) продукта (низкое влияние на доступность).

Столь высокая оценка объясняется сочетанием сетевого вектора, отсутствия требований к аутентификации и низкой сложности эксплуатации — типовой профиль уязвимостей, которые быстро берут на вооружение автоматизированные сканеры и ботнеты.

Что делать

Oracle выпускает исправления в рамках регулярных критических обновлений (Critical Patch Update). Рекомендуется:

• проверить, используется ли в инфраструктуре Oracle BI Publisher затронутых версий, и как можно скорее установить актуальный патч Oracle;
• если немедленное обновление невозможно — ограничить сетевой доступ к BI Publisher (не публиковать сервис в интернет, применять VPN, белые списки IP и сегментацию сети);
• включить журналирование и мониторинг HTTP-запросов к платформе для выявления попыток эксплуатации;
• провести проверку учётных записей и прав доступа к отчётам и источникам данных;
• при необходимости — рассмотреть временное отключение неиспользуемых функций и внешних интеграций BI Platform.

Итог: CVE-2026-83305 — уязвимость высокой критичности, позволяющая неаутентифицированному атакующему компрометировать данные Oracle BI Publisher. Затронуты три поддерживаемые ветки продукта, поэтому организациям следует приоритезировать установку патча Oracle и временно усилить сетевые ограничения. Наличие публичной информации об уязвимости повышает риск реальных атак.

Источник: CVE Project (cvelistV5)