🔴 CVE-2026-28564: Critical Schwachstelle

„`html

Zusammenfassung

Apache IoTDB ist anfällig für eine kritische Authentication-Bypass-Schwachstelle (CVE-2026-28564), die es Angreifern ermöglicht, sich mit veralteten, zwischengespeicherten Anmeldedaten zu authentifizieren. Die Vulnerability betrifft das REST-Interface und wird mit dem CVSS-Score von 9.8 als kritisch eingestuft.

Betroffene Systeme

Apache IoTDB Versionen 1.0.0 bis einschließlich 2.0.9 sind anfällig. Die folgende Versionslinie ist betroffen:

• Apache IoTDB 1.0.0 – 2.0.9

Systeme mit älteren oder neueren Versionen erfordern eine Evaluierung der jeweiligen Patch-Status.

Technische Details

Die Schwachstelle besteht in unzureichender Session-Ablauferkennung (Insufficient Session Expiration) im REST-Basic-Authentication-Mechanismus von Apache IoTDB. Der Dienst validiert zwischengespeicherte Anmeldedaten nicht korrekt auf ihre Aktualität. Dies ermöglicht Replay-Attacken, bei denen Angreifer abgefangene oder zwischengespeicherte HTTP Basic Auth-Header erneut verwenden können, um Zugriff zu erlangen – selbst nach Passwortänderungen oder Session-Beendigung.

Der Angriffsvektor ist netzwerkbasiert (AV:N), erfordert keine Authentifizierung (AU:N) und kann remote ausgeführt werden. Dies macht die Vulnerability unmittelbar ausnutzbar.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf Apache IoTDB Version 2.0.10 oder höher durchführen
• Netzwerksegmentierung: REST-API-Zugriff auf vertrauenswürdige Netzwerke beschränken
• HTTPS-Enforcement: Ausschließlich verschlüsselte Verbindungen zulassen, um Credential-Capture zu minimieren
• Monitoring: Ungewöhnliche Authentication-Versuche überwachen
• Passwortrotation: Nach dem Patch durchführen

Bewertung

CVSS v3.1 Score: 9.8 (Critical)

Die Vulnerability ermöglicht vollständige Kompromittierung der Authentication-Sicherheit. Das fehlende Patch für den aktuellen Stand stellt ein erhebliches Risiko dar. Unverzügliches Handeln wird empfohlen.

„`