Oracle MySQL Server und Cluster: Unzureichende Zugriffskontrolle in Client-Programmen

Zusammenfassung

Die Produkte MySQL Server und MySQL Cluster von Oracle enthalten eine Schwachstelle in der Komponente Client-Programme (CWE-284, unzureichende Zugriffskontrolle). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über mehrere Protokolle kann sie ausnutzen, wobei der Angriff als schwierig gilt. Oracle und NVD bewerten die Schwachstelle mit 8.1 (Hoch) und beschreiben eine mögliche Übernahme des MySQL Servers oder Clusters mit Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• MySQL Server 8.4.0 bis 8.4.12
• MySQL Server 9.7.0 bis 9.7.3
• MySQL Server 26.7.0 bis 26.7.1
• MySQL Cluster 8.0.0 bis 8.0.49
• MySQL Cluster 8.4.0 bis 8.4.12
• MySQL Cluster 9.7.0 bis 9.7.3
• MySQL Cluster 26.7.0 bis 26.7.1
• Der Standard-MySQL-Server 8.0 liegt nicht in den aufgeführten Bereichen.

Behoben in

Provisorisch, noch nicht gegen die Advisory von Oracle verifiziert (Tenable-Plugin-Titel über Vulners):

• MySQL Server 8.4.x: 8.4.13
• MySQL Server 9.x: 9.7.4
• MySQL Server und Cluster 26.x: 26.10.0
• MySQL Cluster 8.0.x: 8.0.50

Das Critical Patch Update von Oracle vom Oktober 2026 (veröffentlicht am 20. Oktober 2026) behebt diese CVE.

Umgehung

• Kein Workaround des Herstellers für diese CVE bekannt. Das Einspielen von Patches ist die primäre Massnahme.
• Bis zum Patch gelten allgemeine Härtungsmassnahmen (nicht CVE-spezifisch): Ports 3306 und 33060 nicht aus dem Internet erreichbar machen, anonyme und doppelte '%'-Konten entfernen, root auf localhost beschränken.
• Einschränken, welche Clients sich verbinden können, und verschlüsselte Verbindungen erzwingen, wo möglich.

Ausnutzung

• Unbekannt. Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn, keinen Eintrag im CISA KEV und keinen öffentlichen Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• EPSS 0.00348 (niedrig).

Unsere Empfehlung

• Alle MySQL-Server- und Cluster-Instanzen sowie Client-Bibliotheken inklusive Versionen erfassen.
• Auf die fixierten Versionen patchen, nachdem die Zuordnung im Critical Patch Update von Oracle vom Oktober 2026 bestätigt wurde.
• Priorität haben aus dem Internet oder breit erreichbare MySQL-8.4-, 9.7- und 26.7-Server sowie alle MySQL-Cluster-8.0-Installationen.
• Client-Tools und Bibliotheken auf Arbeitsstationen und Applikationsservern ebenfalls aktualisieren.
• Prüfen, dass Datenbankports nicht aus unvertrauenswürdigen Netzen erreichbar sind, und ungewöhnliche Verbindungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update October 2026 www.oracle.com
• Tenable plugin titles via Vulners (CVE-2026-101771) vulners.com
• Ubuntu CVE-2026-101771 ubuntu.com
• FreeBSD MySQL 9.7 package advisory via Vulners vulners.com
• MySQL 8.4.13 release notes dev.mysql.com
• MySQL 9.7.4 release notes dev.mysql.com
• SecurityOnline: Oracle MySQL vulnerabilities October 2026 securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:25.