Oracle Secure Backup: Denial of Service über unauthentifizierte TCP-Anfragen

Zusammenfassung

Oracle Secure Backup 19.1 ist von einer Schwachstelle in der Komponente Backup and Restore betroffen, die es einem nicht authentifizierten Angreifer mit Netzwerkzugriff über TCP erlaubt, den Dienst zum Absturz oder Hängen zu bringen und so einen wiederholbaren Denial of Service auszulösen. Oracle stuft die Schwachstelle mit 8.6 (CVSS 3.1) ein und gibt an, dass der Scope geändert wird, sodass Angriffe auch andere Produkte beeinträchtigen können. Laut Hersteller sind keine Auswirkungen auf Vertraulichkeit oder Integrität aufgeführt; das Risiko liegt in der Verfügbarkeit, was wichtig ist, weil ein ausgefallener Backup-Server nach einem Ransomware- oder Hardwarevorfall Wiederherstellungen blockieren kann.

Betroffen

• Oracle Secure Backup 19.1.0.0.0 - Oracle Secure Backup 19.1.0.1.0

Behoben in

Unbekannt. Das Critical Patch Update von Oracle vom Oktober 2026 deckt diese Schwachstelle ab, die korrigierte Version für 19.1 konnte jedoch nicht bestätigt werden. Prüfen Sie die Angaben zur Verfügbarkeit von Patches in der Sicherheitsmitteilung von Oracle oder in My Oracle Support, bevor Sie Änderungen planen.

Umgehung

Kein Workaround des Herstellers gefunden. - Beschränken Sie den Netzwerkzugriff auf Oracle Secure Backup auf die Backup- und Administrationsnetze. - Setzen Sie den Dienst nicht dem Internet aus. - Leiten Sie Fernzugriffe auf den Backup-Server über ein VPN oder einen Jump Host.

Ausnutzung

Aktive Ausnutzung in freier Wildbahn: nichts gefunden. CISA KEV: Nein. EPSS: 0.0046. Öffentlicher Proof of Concept: nichts gefunden, die Suche war jedoch eingeschränkt.

Unsere Empfehlung

• Prüfen Sie die Version von Secure Backup und ob der Server aus nicht vertrauenswürdigen Netzen erreichbar ist. - Beschränken Sie den Zugriff auf das Backup-Netz und setzen Sie den Dienst nicht dem Internet aus. - Beschaffen Sie das korrigierte Build für 19.1 über die Sicherheitsmitteilung von Oracle oder My Oracle Support und spielen Sie die Fixes des Critical Patch Update vom Oktober 2026 für alle Secure-Backup-CVEs ein. - Überwachen Sie den Backup-Server auf Abstürze, Neustarts und Hänger und halten Sie einen manuellen Wiederherstellungsweg bereit. - Planen Sie den Umstieg weg von 19.1, da der Premier Support am 30. September 2027 endet. Priorität: hoch, wenn ein Server mit 19.1 aus dem Netzwerk erreichbar ist, andernfalls mittel.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• Oracle Critical Patch Update Advisory - October 2026 (verbose) www.oracle.com
• Vulners CVE-2026-101479 vulners.com
• Strix CVE-2026-101479 www.strix.ai
• VulDB 423204 vuldb.com
• Oracle Secure Backup 19 Installation and Configuration Guide docs.oracle.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:34.