Oracle Trusted Answer Search: Vollständige Übernahme über Oracle Net im PL/SQL-Paket
Zusammenfassung
Eine Schwachstelle im PL/SQL-Paket von Oracle Trusted Answer Search Version 26.1 erlaubt einem Angreifer mit niedrigen Berechtigungen und Netzwerkzugriff über Oracle Net, das Produkt zu kompromittieren. Ein erfolgreicher Angriff kann zu einer vollständigen Übernahme mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen, und wegen der Scope-Änderung können auch weitere Produkte betroffen sein. Der CVSS-Basiswert beträgt 9.9 (kritisch). Für die Ausnutzung ist ein gültiges Konto mit niedrigen Berechtigungen nötig, diese Hürde kann aber schwach sein, wenn Konten geteilt oder schlecht verwaltet werden.
Betroffen
- Oracle Trusted Answer Search, Version 26.1
- Patch-Verfügbarkeitsdokument: Database
Behoben in
Unbekannt. Prüfen Sie das Oracle Critical Patch Update vom Oktober 2026 und das Patch-Verfügbarkeitsdokument auf die korrigierte Version.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Allgemeine Optionen: Den Zugriff auf den Oracle-Net-Listener auf bekannte Applikationsserver beschränken sowie Datenbankkonten mit niedrigen Berechtigungen einschränken und überwachen, nach Abstimmung mit Oracle.
Ausnutzung
- Aktive Ausnutzung: keine Hinweise gefunden, Status unbekannt.
- Öffentlicher Proof of Concept: keiner gefunden.
- Der CVE-Eintrag ist erst wenige Tage alt.
Unsere Empfehlung
- Prüfen Sie, ob Oracle Trusted Answer Search überhaupt installiert ist.
- Falls installiert, beschränken Sie den Oracle-Net-Zugriff auf vertrauenswürdige Hosts und überprüfen Sie Datenbankkonten mit niedrigen Berechtigungen.
- Spielen Sie den Oracle-Patch ein, sobald die korrigierte Version bestätigt ist.
- Prüfen Sie gleichzeitig die verwandte CVE-2026-101498 (CVSS 8.1, keine Authentifizierung nötig).
- Überwachen Sie Meldungen zur Ausnutzung und einen Eintrag im CISA-KEV-Katalog.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle October 2026 Critical Patch Update advisory www.oracle.com
- Vulners NVD mirror CVE-2026-101503 vulners.com
- Strix CVE summary CVE-2026-101503 www.strix.ai
- Vulners NVD mirror CVE-2026-101498 (related) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.