Уязвимость в Oracle Essbase позволяет неаутентифицированным пользователям читать данные (CVE-2026-91645)
Oracle Essbase — популярная платформа корпоративной бизнес-аналитики, используемая для построения OLAP-хранилищ и аналитических приложений. В ней выявлена уязвимость, связанная с недостатками контроля безопасности, позволяющая злоумышленнику обойти штатные механизмы авторизации.
Подробности
Уязвимость затрагивает компонент Security в Oracle Essbase. Уязвимой является поддерживаемая версия 21.8.3.0.0. Согласно оценке CVSS 3.1, базовый балл составляет 5.3 (MEDIUM), вектор — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N.
Атака возможна удалённо по сети через HTTP и не требует аутентификации: показатель PR:N означает, что злоумышленнику не нужны учётные данные, а AC:L указывает на низкую сложность эксплуатации. Успешная атака приводит к несанкционированному доступу на чтение к части данных Oracle Essbase (влияние только на конфиденциальность, C:L). Целостность и доступность системы при этом не нарушаются.
Несмотря на средний уровень критичности, отсутствие необходимости в аутентификации и низкая сложность эксплуатации делают уязвимость значимой для организаций, у которых экземпляры Essbase доступны из внешних сетей.
Что делать
- Проверить, используется ли в инфраструктуре Oracle Essbase версии 21.8.3.0.0.
- Установить обновление безопасности, выпущенное Oracle для затронутого продукта (следите за официальными бюллетенями Oracle Critical Patch Update).
- До установки патча ограничить сетевой доступ к экземплярам Essbase на уровне межсетевого экрана и правил сегментации, не публиковать сервис в открытый интернет.
- Ограничить доступ к административным и аналитическим интерфейсам, включить журналирование и мониторинг подозрительной активности по HTTP.
- Провести проверку журналов на предмет аномальных обращений на чтение данных.
Уязвимость CVE-2026-91645 требует внимания администраторов, отвечающих за корпоративные аналитические платформы: её относительно легко эксплуатировать удалённо и без аутентификации. Своевременное обновление и ограничение сетевой доступности экземпляров Essbase снижают риск утечки аналитических данных.
Источник: CVE Project (cvelistV5)