🇰🇷 한글 설명
Oracle Analytics의 Business Intelligence Enterprise Edition 제품 중 BI Search 컴포넌트에 취약점이 존재합니다. 영향받는 버전은 8.2.0.0.0 및 12.2.1.4.0이며, 인증되지 않은 공격자가 HTTP로 네트워크 접근 시 쉽게 악용할 수 있습니다. 공격 성공 시 중요 데이터의 무단 생성, 삭제 또는 수정이 가능해집니다.
💡 쉬운 설명
인증 없이 네트워크로 접근할 수 있는 공격자가 BI 검색 기능의 약점을 이용해 시스템의 데이터를 몰래 바꾸거나 지울 수 있습니다. 공격을 성공시키려면 다른 사용자가 특정 행동을 한 번 해야 합니다.
🇺🇸 원문 (English)
Vulnerability in the Oracle Business Intelligence Enterprise Edition product of Oracle Analytics (component: BI Search). Supported versions that are affected are 8.2.0.0.0 and 12.2.1.4.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Business Intelligence Enterprise Edition. Successful attacks require human interaction from a person other than the attacker. Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle Business Intelligence Enterprise Edition accessible data. CVSS 3.1 Base Score 6.5 (Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N).
📍 영향받는 시스템
Oracle Business Intelligence Enterprise Edition 8.2.0.0.0 및 12.2.1.4.0 (Oracle Analytics, BI Search 컴포넌트)
⚔️ 공격 벡터
네트워크(HTTP)를 통해 인증 없이 접근한 공격자가 사용자 상호작용(예: 악성 링크 클릭)을 유도하여 무결성을 훼손
🛡️ 대응 방법
Oracle 공식 Critical Patch Update(CPU)에서 제공하는 보안 패치를 즉시 적용하고, 해당 패치가 없으면 BI Search 기능 접근을 네트워크 차원에서 제한
🔧 검증 코드
출력에 해당 CVE 관련 패치 ID가 표시되면 패치가 적용된 것이며, 아무 결과가 없으면 미적용 상태로 판단하여 Oracle 패치를 설치해야 합니다.
opatch lspatches -oh $ORACLE_HOME 2>/dev/null | grep -i 'CVE-2026-91588\|BI Search'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
Oracle GraalVM Enterprise Edition