Oracle Management Pack for Oracle GoldenGate: Unzureichende Zugriffskontrolle im EM Plugin

Zusammenfassung

Die Komponente EM Plugin von Oracle Management Pack for Oracle GoldenGate, Versionen 13.4.1.0.1 bis 13.5.2.0.6, enthält eine Schwachstelle bei der Zugriffskontrolle (CWE-284). Ein nicht authentifizierter Angreifer mit Zugriff auf das physische oder benachbarte Netzwerksegment des Hosts kann das Produkt kompromittieren, wobei eine Übernahme der Komponente möglich ist. Für einen erfolgreichen Angriff ist eine Benutzerinteraktion durch eine andere Person erforderlich. Eine Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bekannt.

Betroffen

• Oracle Management Pack for Oracle GoldenGate, Versionen 13.4.1.0.1 bis 13.5.2.0.6 (Komponente EM Plugin)

Behoben in

Unbekannt. Die Patch-Version ist dem Oracle Critical Patch Update Advisory vom Oktober 2026 oder My Oracle Support zu entnehmen.

Umgehung

• Das EM Plugin deaktivieren oder dessen Nutzung einschränken, falls es für Ihre Umgebung nicht benötigt wird.
• Den Zugriff auf Enterprise Manager und die Plugin-Schnittstellen auf ein Management-VLAN beschränken.
• Die physische Sicherheit der Hosts mit dem Plugin überprüfen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Stand 21. Oktober 2026 nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein.
• EPSS ca. 0.0018 (niedrig).

Unsere Empfehlung

• Prüfen, ob GoldenGate mit Enterprise Manager und das EM Plugin installiert und erforderlich sind.
• Falls nicht benötigt, das EM Plugin deaktivieren.
• Falls benötigt, den Netzwerkzugriff auf die Management-Schnittstellen einschränken und den Critical Patch Update vom Oktober 2026 einspielen, sobald die Patch-Version bestätigt ist.
• Management-Schnittstellen nicht in öffentlichen Netzwerken betreiben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Oracle Critical Patch Update Advisory – October 2026 www.oracle.com
• OpenCVE – CVE-2026-91517 app.opencve.io
• Vulners – CVE-2026-91517 vulners.com
• VulDB – CVE-2026-91517 vuldb.com
• Brandefense – Oracle October 2026 CPU brandefense.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:14.