Уязвимость высокой критичности в Oracle BI Publisher (CVE-2026-83303)
В Oracle BI Publisher обнаружена уязвимость высокой критичности (CVSS 8.5), позволяющая низкопривилегированному атакующему с сетевым доступом через SOAP компрометировать систему. Под угрозой поддерживаемые версии 8.2.0.0.0, 12.2.1.4.0 и 26.01.0.0.0. Успешная эксплуатация может привести к несанкционированному созданию, удалению или изменению критичных данных.
Подробности
Уязвимость присутствует в поддерживаемых версиях Oracle BI Publisher 8.2.0.0.0, 12.2.1.4.0 и 26.01.0.0.0. Согласно описанию, проблема относится к категории легко эксплуатируемых: атакующему достаточно иметь низкие привилегии и сетевой доступ к системе через SOAP. При этом взаимодействие с пользователем не требуется (UI:N), а сложность атаки оценивается как низкая (AC:L). Вектор CVSS: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N). Обращает на себя внимание параметр Scope Change (S:C): хотя уязвимость находится в самом BI Publisher, успешная атака способна оказать существенное влияние на другие продукты. По показателям воздействия наиболее серьёзный ущерб приходится на целостность (I:H) — возможны несанкционированное создание, удаление или изменение критичных данных, а также всех доступных через BI Publisher данных. Кроме того, не исключён несанкционированный доступ на чтение к подмножеству данных (C:L). Влияние на доступность (A:N) в векторе не заявлено. Подобный профиль угрозы означает, что даже пользователь с ограниченными правами может нанести значительный ущерб данным организации, поэтому недооценивать уязвимость не стоит.Что делать
Основная рекомендация — установить обновления, выпущенные Oracle в рамках очередного критического патча (CPU). Организациям, использующим перечисленные версии BI Publisher, следует сверить свои инсталляции со списком затронутых релизов и как можно скорее применить доступные исправления. Если немедленное обновление невозможно, стоит рассмотреть компенсирующие меры: ограничить сетевой доступ к BI Publisher и его SOAP-интерфейсам доверенными сегментами, минимизировать число учётных записей, обладающих доступом к компоненту BI Platform Security, а также усилить мониторинг подозрительной активности, связанной с изменением или удалением данных. Поскольку для эксплуатации достаточно низких привилегий, особое внимание следует уделить контролю за учётными записями рядовых пользователей. Дополнительные сведения и официальные рекомендации целесообразно уточнить в бюллетене безопасности Oracle. Итог: CVE-2026-83303 — серьёзная уязвимость в Oracle BI Publisher с высоким показателем CVSS 8.5, затрагивающая три поддерживаемые версии. Из-за низкого порога входа для атакующего и потенциального влияния на целостность критичных данных приоритет устранения должен быть высоким: рекомендуется незамедлительно применить патчи Oracle или, при невозможности, задействовать митигации по ограничению доступа и усилению контроля.Источник: CVE Project (cvelistV5)