Si bien siempre arreglar los datos en la fuente es la mejor solución, también encontré que esto es útil en el caso de que no pueda controlar los datos en la fuente:
select xmlelement("test", test)
from (select regexp_replace(unistr('a\0013b'), '[[:cntrl:]]', '') test from dual);
La pieza importante es regexp_replace(your_field, '[[:cntrl::]]', '') para eliminar los caracteres de control de los datos.
