Oracle MySQL Server/Cluster: Unzureichende Zugriffskontrolle in Group Replication

Zusammenfassung

Die als betroffen aufgeführten Versionen von Oracle MySQL Server und MySQL Cluster enthalten eine unzureichende Zugriffskontrolle (CWE-284) in der Komponente Group Replication GCS, die die Gruppenkommunikation zwischen Datenbankknoten abwickelt. Ein nicht authentifizierter Angreifer mit Zugriff auf das benachbarte Netzwerk der Systeme, auf denen MySQL läuft, kann den Server kompromittieren; der CVSS-3.1-Basiswert beträgt 8.8 mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVE-Text spricht von einem physischen Kommunikationssegment, während der CVSS-Vektor einen benachbarten Netzwerkzugriff (AV:A) angibt, weshalb die genauen Voraussetzungen in der Herstellerwarnung bestätigt werden sollten.

Betroffen

• MySQL Server 8.4.0 bis 8.4.12, 9.7.0 bis 9.7.3, 26.7.0 bis 26.7.1 - MySQL Cluster 8.0.0 bis 8.0.49, 8.4.0 bis 8.4.12, 9.7.0 bis 9.7.3, 26.7.0 bis 26.7.1

Behoben in

Unbekannt aus verifizierten Quellen. - Nicht verifizierte Titel von Drittanbieter-Plugins deuten auf MySQL Server 8.4.13, 9.7.4 und 26.10.0 sowie MySQL Cluster 8.0.50 und 26.10.0 hin. - Die genaue korrigierte Version in der Herstellerwarnung zum CPU vom Oktober 2026 bestätigen, bevor gepatcht wird.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers oder eines Drittanbieters gefunden. Allgemeine Massnahmen, nicht aus einer Quelle übernommen: Group-Replication-Datenverkehr auf Clustermitglieder beschränken, Datenbankknoten von allgemeinen Benutzernetzwerken trennen und Group Replication deaktivieren, falls die Installation es nicht verwendet.

Ausnutzung

• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; der Strix-Eintrag führt KEV als Nein. - CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total. - In einer kurzen Suche wurde kein öffentlicher Proof of Concept gefunden; dies sollte anhand des CISA-KEV-Katalogs und von Exploit-Repositories erneut geprüft werden.

Unsere Empfehlung

• Die korrigierte Version in der Herstellerwarnung zum CPU vom Oktober 2026 bestätigen und alle betroffenen MySQL-Server- und Cluster-Instanzen patchen. - Die Versionen von MySQL Server und Cluster inventarisieren und alle Group-Replication-Installationen identifizieren. - Group-Replication- und Cluster-Systeme zuerst patchen und prüfen, dass der Datenbankverkehr auf Clustermitglieder beschränkt ist. - MySQL nicht in gemeinsam genutzten oder flachen Netzwerksegmenten betreiben und auf unerwartete Gruppenmitglieder oder Verbindungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• NVD record via Vulners vulners.com
• CVE list record via Vulners vulners.com
• Ubuntu security tracker CVE-2026-101781 ubuntu.com
• Tenable Nessus plugin 370444 www.tenable.com
• Friday We Works: Oracle MySQL October 2026 CPU review fridayweworks.com
• Strix CVE-2026-101781 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:16.