🔴 CVE-2026-75852: Critical Schwachstelle

„`html

Zusammenfassung

ArcadeDB-Versionen vor 26.8.1 weisen eine kritische Authentifizierungslücke im MongoDB wire-protocol Plugin auf. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, auf Port 27017 zuzugreifen und beliebige Datenbankoperationen durchzuführen, ohne gültige Credentials bereitzustellen. Der CVSS-Score von 9.8 unterstreicht die kritische Natur dieser Vulnerability.

Betroffene Systeme

Folgende ArcadeDB-Versionen sind anfällig:

• ArcadeDB vor Version 26.8.1
• Alle Installationen mit aktiviertem MongoDB wire-protocol Plugin
• Systeme, die Port 27017 nach außen exponieren

Technische Details

Das MongoDB-Kompatibilitäts-Plugin von ArcadeDB implementiert die SASL-Authentifizierung nicht korrekt für Datenbefehle. Angreifer können eine Verbindung zu Port 27017 herstellen und direkt Operationen ausführen:

• INSERT-Befehle zur Datenmanipulation
• FIND-Queries für Datenexfiltration
• UPDATE und DELETE für Datenzerstörung
• CREATE-Befehle zur Datenbank-Verwaltung

Die Authentifizierungsprüfung wird umgangen, da das Plugin die SASL-Token nicht validiert, bevor Datenbefehle verarbeitet werden. Dies ermöglicht vollständigen, unauthentifizierten Zugriff auf alle Datenbanken.

Empfohlene Massnahmen

• Sofortige Netzwerkmaßnahmen: Port 27017 durch Firewall-Regeln blockieren oder auf sichere Netzwerk-Segmente beschränken
• Upgrade: ArcadeDB auf Version 26.8.1 oder aktueller aktualisieren
• Authentifizierung: Reverse-Proxy mit Authentifizierung vor ArcadeDB einsetzen
• Monitoring: Ungewöhnliche Verbindungen zu Port 27017 überwachen
• Zugriffskontrolle: MongoDB wire-protocol Plugin deaktivieren, falls nicht erforderlich

Bewertung

Diese Vulnerability stellt eine kritische Bedrohung dar. Der hohe CVSS-Score (9.8) reflektiert die fehlende Authentifizierung bei vollständigem Funktionszugriff. Die Kombination aus einfacher Ausnutzbarkeit (kein Exploit erforderlich) und maximaler Auswirkung (komplette Datenbankzugriffe) erfordert sofortige Maßnahmen. Ein Patch für betroffene Versionen wurde nicht angekündigt; daher sind Kompensationsmaßnahmen essentiell.

„`