Oracle OLAP: Rechteausweitung über DBMS_AW ermöglicht Übernahme der OLAP-Komponente
Zusammenfassung
Eine Schwachstelle in der OLAP-Komponente von Oracle Database Server betrifft die unterstützten Versionen 19.3 bis 19.32, 21.3 bis 21.23 und 23.4.0 bis 23.26.3. Ein Angreifer mit einem Datenbankkonto mit niedrigen Rechten, dem die Berechtigung DBMS_AW zugewiesen ist, und Netzwerkzugriff auf Oracle Net kann die OLAP-Komponente kompromittieren. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme von Oracle OLAP führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit (CVSS 3.1 8.8).
Betroffen
- Oracle Database Server, OLAP-Komponente
- Versionen 19.3 bis 19.32
- Versionen 21.3 bis 21.23
- Versionen 23.4.0 bis 23.26.3
Behoben in
- Unbekannt. Die Nummern der Fix-Patches wurden in den verfügbaren Quellen nicht gefunden; prüfen Sie das Oracle-Advisory zum Critical Patch Update vom Oktober 2026 und My Oracle Support für den Patch zur jeweils installierten Version.
Umgehung
- Kein Workaround des Herstellers identifiziert.
- Prüfen, ob die OLAP-Option installiert und in Gebrauch ist.
- Oracle-Net-Zugriff (Listener, standardmässig Port 1521) auf bekannte Applikations- und Administrationshosts beschränken.
- Konten mit DBMS_AW überprüfen und das Recht entfernen, wo es nicht benötigt wird.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in der CISA-KEV-Liste.
- CISA SSVC: Exploitation none, Automatable no.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Den Fix aus dem Oracle Critical Patch Update vom Oktober 2026 für die installierten Versionen einspielen; Datenbanken mit genutzter OLAP-Option und exponierten Listenern priorisieren.
- Bis zur Behebung den Listener-Zugriff einschränken und DBMS_AW-Berechtigungen prüfen.
- Prüfen, ob die OLAP-Option installiert ist; falls nicht, ist die Exponierung geringer.
- Datenbank-Audit-Logs auf ungewöhnliche OLAP- oder DBMS_AW-Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle Critical Patch Update October 2026 advisory www.oracle.com
- Oracle Security Alerts index www.oracle.com
- NVD/CNA CVE data mirror (OpenCVE) app.opencve.io
- Vulners CVE record vulners.com
- VulDB entry vuldb.com
- Third-party CPU summary (Breach Signal) breach-signal.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.