🟠 CVE-2026-24012: High Luecke in Apache Iotdb

„`html

Zusammenfassung

CVE-2026-24012 ist eine High-Severity-Schwachstelle in Apache IoTDB, die eine unkontrollierte Ressourcenerschöpfung ermöglicht. Durch manipulierte Query-Parameter können Angreifer einen Denial-of-Service-Zustand herbeiführen, der zum Absturz des DataNode-Prozesses führt. Die Schwachstelle betrifft Versionen ab 1.3.3 bis einschließlich 2.0.7.

Betroffene Systeme

• Apache IoTDB Version 1.3.3 bis < 2.0.8
• Betroffene Komponente: Query-Interface des DataNode
• Angriffsvektor: Netzwerk (remote auslösbar)

Technische Details

Die Vulnerability liegt in der unzureichenden Validierung von Query-Parametern. Spezifische Query-Interfaces versäumen es, angemessene Limits für folgende Parameter zu implementieren:

• Zeitspanne (Time Span) des Abfragezeitraums
• Aggregationsintervalle

Ein Angreifer kann eine manipulierte Query mit extremen Parameterkombinationen konstruieren – beispielsweise ein sehr großes Zeitfenster kombiniert mit minimalem Aggregationsintervall. Dies zwingt den DataNode, einen enormen Result-Set im Java-Heap zu generieren und zu speichern. Die fehlende Speicherfreigabe führt zu Heap-Erschöpfung und letztendlich zum Absturz des DataNode-Prozesses.

Die Anfälligkeit kann ohne Authentifizierung ausgenutzt werden, da das vulnerable Interface über das Netzwerk erreichbar ist.

Empfohlene Massnahmen

• Sofort: Upgrade auf Apache IoTDB Version 2.0.8 oder höher durchführen
• Query-Parameter-Limits überprüfen und hardening durchführen
• Netzwerkzugriff auf DataNode-Interfaces auf vertrauenswürdige Quellen beschränken
• Monitoring von abnormalen Query-Patterns implementieren
• Speicherauslastung und Process-Health kontinuierlich überwachen

Bewertung

CVSS 7.5 (High): Die Schwachstelle ermöglicht einen einfachen Remote-Denial-of-Service-Angriff ohne Authentifizierung. Die Verfügbarkeit kritischer IoTDB-Infrastruktur ist gefährdet, jedoch nicht die Datensicherheit oder -integrität.

„`