🔴 CVE-2026-23537: Critical Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-23537 betrifft den Feast Feature Server und ermöglicht es unauthentifizierten Angreifern, beliebige JSON-Dateien auf das Dateisystem des Servers zu schreiben. Der `/save-document` Endpoint weist unzureichende Validierungsmechanismen auf, die es ermöglichen, bestehende Sicherheitsmaßnahmen zu umgehen. Dies führt zu einer kritischen Bedrohung der Systemintegrität mit potenziellem Zugriff auf Konfigurationsdateien und Startskripte.

Betroffene Systeme

Die Vulnerabilität betrifft verschiedene Versionen des Feast Feature Servers. Da zum aktuellen Zeitpunkt kein Patch verfügbar ist, können alle produktiven Installationen ohne entsprechende Mitigationsmaßnahmen als gefährdet betrachtet werden. Besonders kritisch sind öffentlich zugängliche oder netzwerkexponierte Systeme.

Technische Details

Der `/save-document` Endpoint implementiert Path-Traversal-Schutzmaßnahmen, die jedoch bypassbar sind. Angreifer können durch manipulierte Eingabeparameter (z.B. `../` Sequenzen oder URL-Encoding) Dateien außerhalb der intendierten Verzeichnisse schreiben. Dies ermöglicht das Überschreiben von:

• Anwendungskonfigurationen (z.B. application.yml, config.json)
• Systeminitialisierungsdateien
• Abhängigkeitsdefinitionen

Die fehlende Authentifizierung macht diese Lücke besonders kritisch – Angreifer benötigen lediglich Netzwerkzugriff. Mit CVSS 9.1 wird das kritische Ausmaß unterstrichen.

Empfohlene Massnahmen

• Sofortige Netzwerkisolation: Beschränken Sie den Zugriff auf den Feast Feature Server auf vertrauenswürdige Netzwerke
• Eingabevalidierung: Implementieren Sie strikte Whitelist-basierte Pfadvalidierung
• Authentifizierung: Erzwingen Sie Authentifizierung für alle API-Endpoints
• Monitoring: Überwachen Sie Dateisystemzugriffe und ungewöhnliche JSON-Schreibvorgänge
• Backup: Sichern Sie kritische Konfigurationsdateien regelmäßig
• Patch-Verfolgung: Überwachen Sie offizielle Security-Bulletins auf verfügbare Updates

Bewertung

Mit einem CVSS-Score von 9.1 handelt es sich um eine kritische Sicherheitslücke, die unmittelbare Aufmerksamkeit erfordert. Die Kombination aus fehlender Authentifizierung, Netzwerkzugriff und potenzieller Remote Code Execution stellt eine ernsthafte Bedrohung dar. Maßnahmen zur Risikominderung müssen priorisiert werden, bis ein offizieller Patch verfügbar ist.

„`