Schwachstelle CVE-2026-75803 in OpenSSL

In diesem Beitrag möchten wir Sie mit Informationen zur Schwachstelle CVE-2026-75803 in OpenSSL versorgen und was das für Oracle-Umgebungen bedeutet. Die Schwachstelle ermöglicht es, Angreifern beliebigen Code über eine kompromittierte Verbindung einzuschleusen. Benutzt die Verbindung haCha20-Poly1305 und AES-OCB, dann kann ein leerer Ciphertext fälschlicherweise zu einer erfolgreichen Verbindung führen. Diese beiden Cipher-Suiten sind im FIPS-Mode nicht zugelassen, demnach betrifft die Schwachstelle nur Systeme, die den FIPS-Mode nicht verwenden.

Betroffene OpenSSL Versionen:

• OpenSSL 3.0.0 bis < 3.0.22
• OpenSSL 3.4.0 bis < 3.4.7 
• OpenSSL 3.5.0 bis < 3.5.8 
• OpenSSL 3.6.0 bis < 3.6.4 
• OpenSSL 4.0.0 bis < 4.0.2

Betroffene Produkte und unmittelbare Maßnahmen:

Oracle Datenbanken und Clients:
Betroffen sind Umgebungen in den Versionen ab 19.3 und 23.4, die mit SSL/TLS und einem entsprechenden Listener mit TCPS-Endpunkt konfiguriert sind. Datenbankverbindungen, die die native SQL*Net-Verschlüsselung verwenden, sind von dieser Schwachstelle nicht betroffen.

Maßnahmen: Aktualisieren der GI, Datenbanken und Clients auf RU 19.33 bzw. MRP/CSPU 19.32.0.0.261020 respektive auf RU 23.26.4 bzw. MRP 23.26.3.0.0 und/oder Aktivieren des FIPS-Mode für die Datenbankverbindungen.

Oracle Database Appliance:
Potentiell betroffen sind lediglich Datenbankverbindungen, die wie beschrieben mit TCPS-Endpunkten arbeiten. Die ODA selbst hat seitens des Betriebssystems den FIPS-Mode aktiviert.

Maßnahmen: Siehe Oracle Datenbanken und AHF.

Oracle Autonomous Health Framework (AHF):
Betroffen ist die HTTPS-Funktionalität des AHF in den Versionen 26.3 - 26.8. Die Schwachstelle hat hier einen geringeren Score von 9,1, da die Verfügbarkeit nicht beeinträchtigt wird.

Maßnahmen: Aktualisieren des AHF.

Weiterführende Links:

• Oracle Critical Patch Update 
• Issue summary: ChaCha20-Poly1305 and AES-OCB decryption 
• Beschreibung im CVE-Register 
• Configuration of FIPS 140-2 for Secure Sockets Layer 
• My Oracle Support Note: Patchinformationen 19c
• My Oracle Support Note: Patchinformationen 26ai 

Gerne unterstützen wir Sie bei der Planung und Durchführung der notwendigen Maßnahmen.