Oracle Enterprise Manager for Oracle Database: Übernahme über Data Guard Management
Zusammenfassung
Eine Schwachstelle in der Komponente Data Guard Management von Oracle Enterprise Manager for Oracle Database erlaubt einem Angreifer mit niedrigen Berechtigungen, die Konsole über HTTP zu kompromittieren. Da sich der Scope ändert, können Angriffe auch weitere Produkte betreffen, die von der Konsole verwaltet werden. Der CVSS-Basiswert beträgt 9.9 (kritisch), und eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme von Enterprise Manager führen.
Betroffen
- Oracle Enterprise Manager for Oracle Database 13.5
- Oracle Enterprise Manager for Oracle Database 24.1
Behoben in
Unbekannt. Die Patch-Identifikatoren finden sich im Abschnitt Patch Availability des Oracle Critical Patch Update vom Oktober 2026 oder in My Oracle Support.
Umgehung
- Dem Hersteller ist kein Workaround bekannt. Ein Upgrade oder Patch behebt die Schwachstelle.
- Den Zugriff auf die Enterprise-Manager-Konsole auf Management-Netzwerke oder VPN beschränken.
- Nicht benötigte Enterprise-Manager-Konten mit niedrigen Berechtigungen prüfen und entfernen.
Ausnutzung
- Bis 21. Oktober 2026 ist keine Ausnutzung bekannt.
- Bis 21. Oktober 2026 nicht im CISA-KEV-Katalog aufgeführt (erneute Prüfung empfohlen).
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Oracle Enterprise Manager for Oracle Database 13.5 oder 24.1 mit Data Guard Management im Einsatz ist.
- Das Oracle Critical Patch Update vom Oktober 2026 einspielen, sobald die Fixversionen bestätigt sind.
- Die Konsole nicht aus dem Internet erreichbar machen; den Zugriff auf Management-Netzwerke beschränken.
- Enterprise-Manager-Konten überprüfen und Logs bis zur Behebung auf ungewöhnliche Data-Guard-Aktionen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle CPU October 2026 risk matrix (verbose) www.oracle.com
- NVD record via Vulners mirror vulners.com
- VulDB entry vuldb.com
- Brandefense: Oracle October 2026 CPU brandefense.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.