Esiste una vulnerabilità oracle quando un sistema perde informazioni utili attraverso differenze nelle risposte, nei messaggi di errore o nei tempi di risposta. Anche se il sistema non espone direttamente un segreto, un attaccante può effettuare richieste ripetute e usare quei piccoli indizi per dedurre se un valore ipotizzato, una chiave, un token o un ciphertext sia valido.
Questo è importante perché i canali laterali possono trasformare una funzionalità indurita in una sonda. In pratica, gli attaccanti usano il comportamento oracle per recuperare dati protetti, testare la validità del padding o dei metadati, oppure restringere lo spazio di ricerca per chiavi di crittografia e valori firmati. I difensori cercano risposte uniformi, controlli a tempo costante, errori generici e limiti di velocità, e rimuovono le distinzioni che consentono a un attaccante di distinguere il successo dal fallimento. Nelle applicazioni web, i difetti oracle compaiono spesso nei gestori di upload, nei controlli di autenticazione e nei percorsi di convalida crittografica.