Oracle - CVE-2026-61211
Date de publication :
Il s'agit d'une vulnérabilité critique dans le moteur RDBMS d'Oracle Database Server, au niveau du package PL/SQL DBMS_CLOUD.
Oracle Database est un système de gestion de base de données relationnelle largement déployé dans les environnements d'entreprise.
La vulnérabilité résulte d'une isolation insuffisante du contexte d'exécution des opérations réalisées via le package DBMS_CLOUD, permettant des interactions non prévues avec le reste du moteur RDBMS.
Elle permet à un attaquant authentifié d'obtenir une compromission complète de la base de données via le protocole Oracle Net.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Exécution de code arbitraire (à distance)
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-269 : Improper Privilege Management
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• 19c : versions 19.3 à 19.31 incluses
• 23ai : versions 23.4.0 à 23.26.2 incluses.
Solutions ou recommandations
- Appliquer le Critical Patch Update de juillet 2026.