MittelCVE-2026-55858

    Mariadb-corporation Mariadb-connector-j: Sicherheitslücke (CVE-2026-55858)

    Veröffentlicht Quellen: BSI, OSV, Hersteller, CVE.org, Red Hat

    Was ist betroffen, was ist zu tun

    MariaDB Connector/J wird verwendet, um Java-Anwendungen mit MariaDB- und MySQL-Datenbanken zu verbinden. Vor Versionen 2.7.14, 3.3.5, 3.4.3 und 3.5.9 kodiert der Connector Protokolltexte und führt Client-seitiges Escaping unter der Annahme durch, dass das Verbindungsschriftzeichen-Set UTF-8 ist.

    Aktualisieren Sie Mariadb-corporation Mariadb-connector-j auf Version 2.7.14.

    Betroffen
    • Mariadb-corporation Mariadb-connector-j gte 3.0.0-alpha, < 3.3.5..*
    • Mariadb-corporation Mariadb-connector-j lt *..2.7.14
    Behoben in
    • Mariadb-corporation Mariadb-connector-j 2.7.14

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    5,9

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: Hersteller (CNA), CVSS v3

    5,9

    CVSS v3

    Schweregrad Mittel auf der Skala von 0 bis 10.

    Quelle: BSI, OSV, Hersteller, CVE.org, Red Hat

    0,9 %

    EPSS-Score

    Niedrig – Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.

    Quelle: FIRST EPSS, Perzentil 58,3

    Alle Metriken anzeigen
    Schweregrad
    Mittel
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    82.56 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    kein öffentlicher PoC bekannt
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    5,9 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    5,9
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    0,9 %
    Niedrig – Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    58,3
    Hoch – CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    —
    Veröffentlicht
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-838

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    MariaDB Connector/J wird verwendet, um Java-Anwendungen mit MariaDB- und MySQL-Datenbanken zu verbinden. Vor Versionen 2.7.14, 3.3.5, 3.4.3 und 3.5.9 kodiert der Connector Protokolltexte und führt Client-seitiges Escaping unter der Annahme durch, dass das Verbindungsschriftzeichen-Set UTF-8 ist. Der Server kann eine Änderung des character_set_client während einer Sitzung über die Session-State-Verfolgung von OK-Paketen melden, einschließlich einer Änderung durch SET NAMES, einen gespeicherten Routineaufruf oder Trigger, Serverkonfigurationen oder einen feindlichen Server. Wenn character_set_client zu einem nicht-UTF-8-Wert wechselt, liest und schreibt der Treiber weiterhin UTF-8, während der Server dieselben Bytes unter einer anderen Kodierung interpretiert, was zu stillschweigender Datenkorruption und einem Client/Server-Schriftzeichen-Set-Mismatch führt, der byte-weises Anführen oder Escaping vereiteln kann. Die Korrektur akzeptiert nach der Initialisierung nur utf8, utf8mb3 oder utf8mb4; jeder andere Wert löst eine SQLException mit SQLState 08000 aus und schließt die Verbindung. Dieses Problem wird in den Versionen 2.7.14, 3.3.5, 3.4.3 und 3.5.9 behoben.

    Quelle: BSI CSAF, BSI WID Portal, OSV (Open Source Vulnerabilities), GitHub Security Advisories, cvelistv5, redhat_csaf, NVD (NIST), CVE.org (MITRE)

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    HerstellerProduktBetroffene VersionenBehoben in
    mariadb-corporationmariadb-connector-j
    • ≥ 3.0.0-alpha, < 3.3.5
    • < 2.7.14
    • —
    • 2.7.14
    MariaDBMariaDB Connector/J
    • < 3.5.10
    • 3.5.10
    OracleCommunications
    • 7.5.0
    • 15.0.1.0.0
    • 26.1.202
    • 7.7.0
    • 25.1.100
    • 47.0.0.2.0
    • 7.0.0
    • 6
    • 6.1
    • 7.8.0
    • 24.2.4-25.2.000
    • 7.5.1
    • 25.2.100
    • 8.0-8.1
    • 8.0.1
    • 7.6.0
    • 14
    • 15.1.0.0.0
    • 25.1.200
    • 6.1.1-7.0.0
    • 25.2.200
    • 15.2.0.0.0
    • 11
    • 26.1.200
    • 25.2.202
    • 25.2.201
    • 15.0.0.0.0
    • 8.0-8.3
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    mavenorg.mariadb.jdbc:mariadb-java-client
    • 3.0.7
    • 1.2.0
    • 2.7.9
    • 2.5.1
    • 1.7.2
    • 1.3.6
    • 1.3.3
    • 3.5.6
    • 1.7.0
    • 2.0.1
    • 2.2.4
    • 2.0.0-RC
    • 2.5.4
    • 3.4.0
    • 1.5.2
    • 3.5.1
    • 3.3.1
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —
    • —

    Weakness-Klassen (CWE)

    • CWE-838Inappropriate Encoding for Output Context

      Base

      The product uses or specifies an encoding when generating output to a downstream component, but the specified encoding is not the same as the encoding that is expected by the downstream component.

      Eintrag bei MITRE CWE-838

    Quellen & Referenzen

    • github.commariadb-corporation/mariadb-connector-j/security/advisories/GHS…x_refsource_CONFIRM
    • github.commariadb-corporation/mariadb-connector-j/commit/300716bef1e1d037…x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-j/commit/7b3c69221b5463ee…x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-j/commit/8cfd9df697372ad4…x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-j/commit/c555c9b477521be0…x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-j/releases/tag/2.7.14x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-j/releases/tag/3.3.5x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-j/releases/tag/3.4.3x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-j/releases/tag/3.5.9x_refsource_MISC
    • jira.mariadb.orgbrowse/CONJ-1317x_refsource_MISC
    • github.commariadb-corporation/mariadb-connector-jpackage
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2026-55858
    <a href="https://intel.neosec.eu/cve/CVE-2026-55858"><img src="https://intel.neosec.eu/badge/cve/CVE-2026-55858.svg" alt="CVE-2026-55858 – NEOSEC Intel" height="20"></a>