Oracle MySQL Server und Cluster: Mangelhafte Zugriffskontrolle in JSON-Komponente

Zusammenfassung

Eine Schwachstelle in der JSON-Komponente von Oracle MySQL Server und MySQL Cluster (CWE-284, mangelhafte Zugriffskontrolle) erlaubt einem Angreifer mit einem Datenbankkonto mit niedrigen Berechtigungen und Netzwerkzugriff auf die Datenbank, Daten zu ändern oder zu löschen, einen Teil der Daten zu lesen sowie den Server zum Hängen oder zu wiederholten Abstürzen zu bringen. Der CVSS-3.1-Basiswert beträgt 8.3 (hoch). Erreichbarkeit des Datenbankports und das Vorhandensein eines gültigen Kontos sind die wichtigsten Voraussetzungen für einen Angriff.

Betroffen

• MySQL Server 8.4.0 bis 8.4.12
• MySQL Server 9.7.0 bis 9.7.3
• MySQL Server 26.7.0 bis 26.7.1
• MySQL Cluster 8.0.0 bis 8.0.49
• MySQL Cluster 8.4.0 bis 8.4.12
• MySQL Cluster 9.7.0 bis 9.7.3
• MySQL Cluster 26.7.0 bis 26.7.1

Behoben in

• Korrigierte Versionen gemäss Oracle-CPU vom Oktober 2026 sind in den geprüften Quellen nicht bestätigt.
• Von Tenable abgeleitet, unbestätigt: MySQL Server 8.4.13, 9.7.4, 26.10.0; MySQL Cluster 8.0.50.
• Die MySQL-Version 8.4.13 ist durch Release-Notizen von Drittanbietern belegt.

Umgehung

• Unbekannt. In den geprüften Quellen wurde keine Workaround-Massnahme gefunden.
• Exposition reduzieren: Port 3306 nicht aus dem Internet oder aus unvertrauenswürdigen Netzwerksegmenten erreichbar machen.

Ausnutzung

• In den geprüften Quellen wird keine Ausnutzung in freier Wildbahn gemeldet. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Für diese CVE wurde kein öffentlicher Proof of Concept gefunden.
• EPSS 0.00327 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Alle MySQL-Server- und MySQL-Cluster-Instanzen samt Versionen inventarisieren.
• Die genauen korrigierten Versionen im Sicherheitshinweis der Oracle-CPU vom Oktober 2026 bestätigen.
• Die CPU vom Oktober 2026 oder die passende MySQL-Version auf allen betroffenen Zweigen einspielen, exponierte Instanzen zuerst.
• Bis zur Korrektur Datenbankkonten prüfen (nicht benötigte und gemeinsam genutzte Konten entfernen, Least Privilege anwenden) und sicherstellen, dass Port 3306 aus unvertrauenswürdigen Netzwerken nicht erreichbar ist.
• Priorität: hoch, wenn MySQL aus dem Internet oder aus weniger vertrauenswürdigen Netzwerken erreichbar ist; mittel für interne Datenbanken mit nur einem Mandanten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory - October 2026 www.oracle.com
• Vulners CVE record CVE-2026-101785 vulners.com
• Tenable Nessus plugin 370444 www.tenable.com
• Ubuntu CVE tracker CVE-2026-101785 ubuntu.com
• Friday We Works: MySQL October 2026 CPU and 8.4.13 release fridayweworks.com
• PT-2026-119296 (affected versions) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:31.