🟠 CVE-2026-75853: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-75853 ist eine kritische Authentifizierungs- und Autorisierungslücke in ArcadeDB’s Gremlin Wire-Protocol Plugin (com.arcadedb:arcadedb-gremlin). Betroffene Versionen bis einschließlich 26.7.3 implementieren zwar SASL PLAIN Authentifizierung, führen jedoch keine Autorisierungsprüfungen durch. Dies ermöglicht es authentifizierten Benutzern mit minimalen Berechtigungen, auf alle Datenbanken des Servers zuzugreifen und diese zu manipulieren.

Betroffene Systeme

ArcadeDB Versionen <= 26.7.3 mit aktiviertem Gremlin Wire-Protocol Plugin sind betroffen. Die Schwachstelle existiert unabhängig von der Datenbankgröße oder Konfiguration, solange das Plugin aktiv ist.

Technische Details

Das Gremlin Plugin implementiert SASL PLAIN Authentifizierung, vergibt aber keine zugehörigen Autorisierungstoken. Kritische Sicherheitsmechanismen werden nicht aktiviert:

• Keine canAccessToDatabase Prüfung: Datenbankzugriffsbeschränkungen werden ignoriert
• Fehlende Principal-Bindung: Der authentifizierte Benutzer wird nicht in die Engine gebunden
• ACL-Bypass: Per-Type, Read-Only und UPDATE_SCHEMA Zugriffsregeln werden umgangen

Durch die Manipulation von Traversal-Source Aliasen können Angreifer gezielt Zieldatenbanken auswählen und vollständig auf deren Daten zugreifen. Selbst Benutzerkonten mit Zero-Access oder einzelnen Datenbankberechtigungen können alle Server-Datenbanken lesen, schreiben und löschen.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf ArcadeDB Version 26.8.1 oder höher durchführen
• Netzwerkisolation: Gremlin-Ports beschränken und nur vertrauenswürdigen Netzwerken Zugang gewähren
• Audit-Logs: Gremlin-Zugriffe überwachen auf anomale Aktivitäten prüfen
• Credential-Rotation: Nach dem Update alle ArcadeDB Passwörter zurücksetzen
• Temporärer Workaround: Gremlin Plugin deaktivieren bis Update verfügbar ist

Bewertung

CVSS Score: 8.8 (High)

Die Schwachstelle ermöglicht Datenverlust und Datenbeschädigungen mit hohem Impact. Die fehlende Autorisierung bei vorhandener Authentifizierung stellt einen grundlegenden Sicherheitsfehler dar, der sofortige Aufmerksamkeit erfordert.

„`