Oracle Patchday Oktober 2025 Leicht ausnutzbare Sicherheitslücken bei Oracle

Beim Oracle Patchday im Oktober 2025 sind 131 Produkte von Sicher­heits­lücken betroffen. Besonders kritisch ist die Lage bei Oracle Communi­ca­tions, doch auch E Business Suite, Identity Manager und MySQL Workbench benötigen sofortige Updates.

Beim Oracle Patchday im Oktober waren dieses Mal 131 Produkte beziehungsweise Kompo­nen­ten von Sicherheitslücken betroffen. Dabei waren auch einige kritische Schwachstellen, die dring­end geschlossen werden sollten. Besonders hart trifft es in diesem Monat die Produkte der Linie Oracle Communications. Diese umfasst die Telekommunikationslösungen des Herstellers. Auch für die E-Business Suite erhält weitere Patches, nachdem Oracle Anfang Oktober für die Sicherheitslücke CVE-2025-61882 ein Notfall-Update veröffentlicht hatte. Und auch der Oracle Identity Manager und MySQL Workbench erhalten Patches für kritische Sicherheitslücken.

Erpressungsversuche laufen

Notfall-Patches für Oracle E-Business Suite

Denial-of-Service-Angriffe auf Oracle Communications Suite möglich

Insgesamt sind es drei kritische Sicherheitslücken in den Produkten der Communications Suite: CVE-2025-6965, CVE-2024-37371 und CVE-2025-49796. Letztere beschreibt eine Schwachstelle in „libxml2“, eine externe Open-Source-C-Bibliothek, die Oracle in viele Produkte integriert, um XML-Dateien einzulesen, zu parsen und zu verarbeiten. Ein Fehler in der Verarbeitung der Datei­en betrifft das Converged Charging System sowie das Unified Inventory Management. Bei erfolgreicher Ausnutzung von CVE-2025-49796 können Cyberkriminelle schädliche XML-Ein­gabedateien erstellen, die zum Absturz von libxml und Speicherbeschädigungen führen können.

Bei CVE-2024-37371 handelt es sich um einen Fehler im Umgang mit GSS-Nachrichtentoken (Generic Security Services) in MIT Kerberos 5. Bei erfolgreicher Ausnutzung der Schwachstelle können Cyberangreifer ungültige Speicherlesevorgänge verursachen, indem sie Nach­rich­ten­token mit ungültigen Längenfeldern senden. Doch am gefährlichsten ist die Sicherheitslücke CVE-2025-6965. Diese betrifft die Produkte

• OFS Compliance Studio,

• MySQL Workbench,

• Communications Converged Charging System,

• Communications Convergent Charging Controller,

• Communications Messaging Server,

• Communications Unified Assurance,

• Communications Network Charging & Control,

• Cloud Native Core Policy sowie

• Cloud Native Core Unified Data Repository.

Dieser Schwachstelle zugrunde liegt ein Fehler in der SQLite-Datenbank-Bibliothek, die in einigen Oracle-Produkten als lokaler Datenspeicher eingesetzt wird. In älteren Versionen vor 3.50.2 können speziell konstruierte Abfragen zu Speicherkorruption führen. Bei erfolgreicher Ausnutzung von CVE-2025-6965 könnte der Fehler sogar zu Denial of Service und somit einem Absturz der Bibliothek führen.

Mit Outside In Technology ist eine weitere Bibliothek, die von Oracle eingesetzt wird, von einer kritischen Schwachstelle betroffen. Die Schwachstelle CVE‑2023‑45853 beruht auf einem In­teger-Überlauf in der Komponente „MiniZip“ der Bibliothek „zlib“, bei dem zu lange Datei­namen oder Zusatzfelder dazu führen, dass der Zahlenbereich überschritten wird. Dadurch entsteht ein Heap-basierter Pufferüberlauf, der einen Absturz oder sogar die Ausführung beliebigen Codes ermöglichen kann.

Termine 2025

Wann ist Oracle Patchday 2025?

Leicht ausnutzbare Sicherheitslücken im Identity Manager und der E-Business Suite

Als eine leicht ausnutzbare Sicherheitslücke beschreibt CVE.org CVE-2025-61757 im Oracle Identity Manager. Sie betrifft die REST-Webservices in den Versionen 12.2.1.4.0 und 14.1.2.1.0. Die Schwachstelle ermöglicht es nicht authentifizierten Cyberangreifern mit Netzwerkzugriff über HTTP den Identity Manager zu kompromittieren. Erfolgreiche Angriffe über diese Sicher­heits­lücke können außerdem zur Übernahme des Managers führen.

Nachdem die Sicherheitslücke CVE-2025-61882 Anfang Oktober für Aufregung bei Nutzern der E-Business Suite sorgte, folgen nun beim Patchday nun zwei weitere Patches für kritische Sicher­heits­lücken in der Lösung. CVE-2025-53072 und CVE-2025-62481 betreffen beide die Komponente Marketing Administration der E-Business Suite. Die Lösung dient dazu, Kampag­nen, Zielgruppen, Budgets, Leads und Marketingressourcen zu planen, zuzuweisen und zu über­wachen. Beide Sicherheitslücken werden wie auch die im Identity Manager von CVE.org als leicht auszunutzen beschrieben, denn sie ermöglichen es nicht authentifizierten Angreifern mit Netzwerkzugriff über HTTP, Oracle Marketing zu kompromittieren. Erfolgreiche Cyberangriffe können zur Übernahme von Accounts führen.

Alle kritischen Sicherheitslücken des Oracle Patchdays vom Oktober 2025 finden Sie in dieser Übersicht:

Termine

Das war der Microsoft Patchday 2025

Termine 2025

Wann ist der Patchday von SAP?

Ausnutzung einer kritischen Schwachstelle

Sechs Millionen Datensätze bei Oracle-Breach gestohlen

(ID:50596886)