Oracle Essbase: уязвимость в компоненте Security (CVE-2026-91646)
Введение
В продукте Oracle Essbase корпорации Oracle выявлена уязвимость, получившая идентификатор CVE-2026-91646. Проблема затрагивает компонент Security и относится к классу трудно эксплуатируемых: для успешной атаки требуется сочетание условий, однако сам вектор не требует аутентификации.
Подробности
Уязвимости подвержена поддерживаемая версия Oracle Essbase 21.8.3.0.0. Согласно описанию, неаутентифицированный атакующий, имеющий сетевой доступ к системе через протоколы T3 и IIOP, может скомпрометировать Oracle Essbase. Успешная эксплуатация позволяет несанкционированно обновлять, вставлять или удалять часть доступных данных, а также получать несанкционированный доступ на чтение к их подмножеству и вызывать частичный отказ в обслуживании (partial DoS).
Уязвимость оценена по CVSS 3.1 базовым баллом 5.6, что соответствует уровню MEDIUM. Вектор: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L — атака возможна по сети, сложность эксплуатации высокая, привилегии и взаимодействие с пользователем не требуются, затронуты конфиденциальность, целостность и доступность (все — на низком уровне).
Что делать
Рекомендуется отслеживать официальные выпуски обновлений Oracle для Oracle Essbase и установить исправление, устраняющее CVE-2026-91646, как только оно станет доступно для версии 21.8.3.0.0 или более поздней поддерживаемой ветки. До установки патча следует ограничить сетевой доступ к сервисам Essbase: закрыть неиспользуемые порты T3 и IIOP, разрешить подключения только с доверенных узлов и сегментировать систему средствами сетевой защиты. Дополнительно целесообразно усилить мониторинг обращений к Essbase через T3 и IIOP и журналирование операций изменения данных для своевременного выявления подозрительной активности.
Итог
CVE-2026-91646 — уязвимость среднего уровня опасности в Oracle Essbase 21.8.3.0.0, позволяющая неаутентифицированному сетевому атакующему при определённых условиях влиять на данные и доступность системы. Ключевые меры защиты — своевременное обновление продукта и ограничение сетевого доступа к интерфейсам T3 и IIOP.
Источник: CVE Project (cvelistV5)