„`html
Zusammenfassung
CVE-2026-41042 beschreibt eine kritische Sicherheitslücke in Apache Gravitino vor Version 1.2.1. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, über die testConnection-API eine manipulierte H2 JDBC-URL einzuschleusen und dadurch beliebigen Java-Code auf dem Server auszuführen. Der CVSS-Score beträgt 9.1.
Betroffene Systeme
Betroffen sind alle Apache Gravitino-Installationen mit Version vor 1.2.1, die H2 als Datenbankverbindung nutzen. H2 wird primär in Test- und Entwicklungsumgebungen eingesetzt. Produktivdeployments von Gravitino befinden sich typischerweise in geschlossenen Unternehmensnetzen, wodurch das Expositionsrisiko reduziert wird.
Technische Details
Die Schwachstelle liegt im testConnection-API-Endpunkt von Apache Gravitino. Der Endpunkt validiert Benutzer-Eingaben unzureichend und verarbeitet JDBC-Verbindungs-URLs ohne ausreichende Filterung. Angreifer können über den H2-Datenbanktreiber den INIT-Parameter missbrauchen, um während der Datenbankinitialisierung beliebigen Java-Code auszuführen. H2 interpretiert INIT-Befehle als Code-Ausführungsbefehle, was Remote Code Execution (RCE) ermöglicht.
Der Angriff erfordert nur Netzwerkkonnektivität zum testConnection-Endpunkt und keine Authentifizierung, weshalb die Schwachstelle als kritisch eingestuft wurde.
Empfohlene Massnahmen
- Sofortiges Upgrade: Aktualisieren Sie Apache Gravitino mindestens auf Version 1.2.1, die diese Schwachstelle behebt.
- Netzwerk-Segmentierung: Beschränken Sie den Zugriff auf die testConnection-API durch Firewall-Regeln auf vertrauenswürdige Netzwerke.
- WAF-Regeln: Implementieren Sie Web Application Firewall-Regeln zur Filterung verdächtiger JDBC-URLs mit INIT-Parametern.
- H2-Deaktivierung: Nutzen Sie in Produktivumgebungen andere Datenbanken statt H2.
Bewertung
Trotz des hohen CVSS-Scores (9.1) ist das praktische Risiko moderat, da H2 primär entwicklungsorientiert ist und Gravitino normalerweise intern bereitgestellt wird. Dennoch erfordert die RCE-Fähigkeit sofortige Maßnahmen in betroffenen Systemen mit externe Erreichbarkeit.
„`