Oracle Database Server: Vollständige Übernahme über RDBMS-Komponente (DBMS_VECTOR)
Zusammenfassung
Eine Schwachstelle in der RDBMS-Komponente von Oracle Database Server 23ai (Versionen 23.4.0 bis 23.26.3) erlaubt einem Angreifer mit einem wenig privilegierten Datenbankkonto, das das Privileg DBMS_VECTOR besitzt, die Datenbank über Oracle Net zu kompromittieren. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme des RDBMS führen und die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Der Angriff erfordert gültige Datenbank-Zugangsdaten sowie Netzwerkzugriff auf den Listener und ist nicht unauthentifiziert möglich. Die Schwachstelle ist im Critical Patch Update von Oracle vom Oktober 2026 aufgeführt.
Betroffen
- Oracle Database Server, RDBMS-Komponente, Versionen 23.4.0 bis 23.26.3 (23ai-Linie)
Behoben in
- Fix im Critical Patch Update vom Oktober 2026 (CPU391) enthalten. Unbekannt: konkrete Fix-Release-Nummer für 23ai.
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert.
- Übergangsmassnahme (nicht vom Hersteller): Oracle-Net-Zugriff auf den Listener (Standardport 1521) auf bekannte Applikations- und Admin-Hosts beschränken.
- Übergangsmassnahme (nicht vom Hersteller): nicht benötigte DBMS_VECTOR-Privilegien überprüfen und entziehen.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- CISA KEV: nicht gelistet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Öffentlicher Proof of Concept: keiner gefunden; dies ist kein Beweis, dass keiner existiert.
Unsere Empfehlung
- Prüfen, ob Oracle Database 23ai zwischen 23.4.0 und 23.26.3 im Einsatz ist, zuerst ERP- und Finanzsysteme.
- Das Oracle Critical Patch Update vom Oktober 2026 für betroffene Datenbanken anhand von CPU391 und des Oracle-Advisory einplanen.
- Sicherstellen, dass der Oracle-Listener nicht aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist.
- Prüfen, welche Konten das Privileg DBMS_VECTOR besitzen, und nicht benötigte Privilegien entfernen.
- Datenbankkonten auf unerwartete Aktivitäten überwachen.
- NVD und das Oracle-Advisory auf finale CVSS- und CWE-Angaben prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Security Alert: October 2026 Critical Patch Update www.oracle.com
- Oracle Security Alerts www.oracle.com
- Oracle blog: October 2026 Critical Patch Update released blogs.oracle.com
- NVD/CNA data via Vulners vulners.com
- OpenCVE: CVE-2026-91499 app.opencve.io
- Waratek: Oracle October 2026 CPU waratek.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.