Oracle Trusted Answer Search: Übernahme ohne Authentifizierung über Oracle Net
Zusammenfassung
Oracle Trusted Answer Search Version 26.1 enthält eine Schwachstelle im PL/SQL-Package. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über Oracle Net kann das Produkt kompromittieren, was zu einer Übernahme mit Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Die Ausnutzung ist schwierig (hohe Angriffskomplexität), und der CVSS-3.1-Basiswert beträgt 8.1. Zum Zeitpunkt der Recherche war weder eine Ausnutzung noch ein öffentlicher Proof of Concept bekannt.
Betroffen
- Oracle Trusted Answer Search 26.1
Behoben in
- Unbekannt. Oracle nennt die Korrektur im Critical Patch Update vom Oktober 2026; die genaue Patch-Nummer wurde nicht verifiziert.
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Falls der Patch nicht sofort eingespielt werden kann: Zugriff auf den Oracle-Net-Listener auf bekannte Clients beschränken (allgemeine Härtung, Wirkung für diese CVE nicht verifiziert).
Ausnutzung
- Bis zur Veröffentlichung wurde keine Ausnutzung gemeldet; im Katalog CISA KEV war sie am 21. Oktober 2026 nicht enthalten.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob ein System Oracle Trusted Answer Search 26.1 betreibt. Falls nicht, den Eintrag schliessen.
- Falls ja: sicherstellen, dass der Oracle-Net-Listener nicht aus dem Internet erreichbar ist, den CPU-Patch vom Oktober 2026 zusammen mit den anderen CVEs vom Oktober 2026 einspielen (zum Beispiel CVE-2026-101501 und CVE-2026-101503) und die korrigierte Version im Patch-Dokument von Oracle prüfen.
- CISA KEV und Herstellerquellen erneut prüfen, da sich der Status ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
- Oracle Security Alerts www.oracle.com
- NVD record mirror (Vulners) vulners.com
- CNA data mirror (Strix) www.strix.ai
- Brandefense analysis of October 2026 CPU brandefense.io
- Waratek analysis of October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.