Oracle Trusted Answer Search: Privilege Escalation über Oracle Net (PL/SQL-Package)
Zusammenfassung
Ein Fehler im PL/SQL-Package von Oracle Trusted Answer Search 26.1 erlaubt einem Angreifer mit niedrigen Rechten und Netzwerkzugriff über Oracle Net, das Produkt zu beeinträchtigen. Eine erfolgreiche Ausnutzung kann unautorisiertes Erstellen, Löschen oder Ändern kritischer Daten, eingeschränkten Lesezugriff und einen wiederholbaren Hang oder Absturz ermöglichen. Da der Scope geändert wird, kann sich die Auswirkung über Trusted Answer Search hinaus erstrecken. Der CVSS-3.1-Basiswert beträgt 9.9 (kritisch).
Betroffen
- Oracle Trusted Answer Search 26.1
- Installiert als Package mit Oracle AI Database
Behoben in
Unbekannt. Die Patch-Nummer und der korrigierte Build sind in den Quellen nicht bestätigt; Oracle's Patch Availability Document, auf das das Advisory verweist, prüfen.
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden. Als allgemeine Härtung den Zugriff auf den Oracle-Net-Listener auf benötigte interne Hosts beschränken und Datenbankkonten nach dem Least-Privilege-Prinzip begrenzen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS-Score 0.00411 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
- Oracle gibt an, dass die CVE ohne Authentifizierung nicht remote ausnutzbar ist.
Unsere Empfehlung
- Prüfen, ob Trusted Answer Search 26.1 installiert ist; falls nicht, besteht kein direktes Risiko.
- Falls installiert, hohe Priorität einräumen.
- Sicherstellen, dass der Oracle-Net-Listener aus nicht vertrauenswürdigen Netzen nicht erreichbar ist.
- Oracle-Patch einspielen, sobald das Patch-Dokument den korrigierten Build nennt.
- Bis dahin auf ungewöhnliche Datenbankaktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Vulners CVE record CVE-2026-101501 vulners.com
- Strix CVE record CVE-2026-101501 www.strix.ai
- Oracle Trusted Answer Search overview documentation docs.oracle.com
- Oracle Trusted Answer Search product page www.oracle.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.