🔴 CVE-2026-24014: Critical Luecke in Apache Iotdb

„`html

Zusammenfassung

CVE-2026-24014 ist eine kritische Schwachstelle in Apache IoTDB, die es Angreifern ermöglicht,
beliebige Dateien auf dem betroffenen System zu schreiben. Die Sicherheitslücke existiert in der
internen RPC-Schnittstelle des DataNode beim Erstellen von Trigger-Instanzen. Ein unzureichend
validierter JAR-Dateiname erlaubt Path-Traversal-Angriffe, sofern der interne DataNode RPC-Port
ungeschützt exponiert ist.

Betroffene Systeme

Produkt: Apache IoTDB
Betroffene Versionen: 1.3.3 bis einschließlich 2.0.7
Angriffsvektor: Netzwerk (Network)
CVSS Score: 9.8 (Critical)

Technische Details

Die Schwachstelle liegt in der Trigger-Verwaltungsfunktion des DataNode. Bei der Erstellung von
Trigger-Instanzen wird der hochgeladene JAR-Dateiname direkt zur Konstruktion eines Dateipfads
verwendet, ohne ausreichende Validierung durchzuführen. Durch Path-Traversal-Sequenzen (z.B.
../../../) im JAR-Namen kann ein Angreifer Dateien außerhalb des vorgesehenen
Trigger-Installationsverzeichnisses schreiben.

Voraussetzung für einen erfolgreichen Angriff ist die Erreichbarkeit des internen DataNode
RPC-Ports von einem untrusted Netzwerk. Mit den Berechtigungen des IoTDB-Prozesses können so
sensible Systemdateien überschrieben, Konfigurationen manipuliert oder Schadcode platziert werden.

Empfohlene Massnahmen

• Sofortige Aktualisierung: Upgrade auf Apache IoTDB Version 2.0.8 oder höher durchführen
• Netzwerk-Segmentierung: Internen DataNode RPC-Port (standardmäßig Port 40010) nicht ins öffentliche Netz exponieren
• Firewall-Regeln: RPC-Zugriff auf autorisierte interne Systeme beschränken
• Monitoring: Verdächtige RPC-Aktivitäten und Dateischreibvorgänge überwachen
• Least Privilege: IoTDB-Prozess mit minimalen erforderlichen Berechtigungen ausführen

Bewertung

Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Schwachstelle mit hoher
Priorität. Die Kombination aus kritischem Schweregrad und Netzwerk-Angriffsvektor macht
ein sofortiges Handeln notwendig. Ein zeitnaher Patch ist verfügbar und sollte unverzüglich
eingespielt werden.

„`