Oracle Database Server: Unzureichende Zugriffskontrolle in VPD-Komponente
Zusammenfassung
Die VPD-Komponente (Virtual Private Database) von Oracle Database Server enthält eine unzureichende Zugriffskontrolle (CWE-284). Ein Angreifer mit einem Datenbankkonto mit niedrigen Rechten, das das Privileg CREATE TABLE besitzt, und Netzwerkzugriff über Oracle Net kann die zeilenbasierte Zugriffskontrolle von VPD umgehen. Eine erfolgreiche Ausnutzung kann zu unautorisiertem Lesen, Erstellen, Ändern und Löschen von Daten führen, die durch VPD-Richtlinien geschützt sind. Der Angriff erfordert gültige Datenbank-Zugangsdaten und keine Benutzerinteraktion.
Betroffen
- Oracle Database Server 19.3 bis 19.32
- Oracle Database Server 21.3 bis 21.23
- Oracle Database Server 23.4.0 bis 23.26.3
Behoben in
- Unbekannt. Die korrigierte Version ist für diese CVE nicht bestätigt; die Patch-Nummer im Oracle Critical Patch Update vom Oktober 2026 vor dem Rollout prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt. Das Advisory enthält für diese CVE keine Hinweise.
- Den Zugriff auf Oracle Net (Listener, standardmässig Port 1521) auf bekannte Anwendungs- und Administrationshosts beschränken.
- Konten mit dem Privileg CREATE TABLE prüfen und auf das Nötigste reduzieren.
Ausnutzung
- Nicht in CISA KEV gelistet.
- CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no.
- EPSS liegt bei etwa 0.003.
- Kein öffentlicher Proof of Concept oder Exploit-Bericht gefunden.
Unsere Empfehlung
- Prüfen, ob Oracle Database Server 19.3 bis 19.32, 21.3 bis 21.23 oder 23.4.0 bis 23.26.3 im Einsatz ist.
- Das Oracle Critical Patch Update vom Oktober 2026 nach Bestätigung der korrigierten Version im nächsten Wartungsfenster einspielen.
- Die Exposition von Oracle Net reduzieren sowie CREATE TABLE-Privilegien und VPD-Richtlinien überprüfen.
- Den NVD-Eintrag erneut prüfen, da sein Status veraltet sein kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update Advisory October 2026 www.oracle.com
- Oracle Database Monthly News October 2026 blogs.oracle.com
- OpenCVE CVE-2026-91503 app.opencve.io
- Vulners CVE-2026-91503 vulners.com
- GBHackers: Oracle releases 1295 security patches gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.