„`html
Zusammenfassung
Eine Sicherheitslücke in Apache IoTDB ermöglicht es authentifizierten Benutzern, ohne entsprechende Berechtigung auf Last-Value-Daten zuzugreifen. Die Schwachstelle liegt in der Endpoint /rest/v2/fastLastQuery und resultiert aus fehlerhafter Autorisierungskontrolle. Mit einem CVSS-Score von 7.5 wird die Lücke als High-Severity klassifiziert.
Betroffene Systeme
Die Schwachstelle betrifft folgende Apache IoTDB-Versionen:
- Version 1.3.5 bis einschließlich 1.3.7
- Version 2.0.5 bis einschließlich 2.0.9
Systeme mit älteren oder neueren Versionen müssen evaluiert werden. Besonders kritisch sind Produktionsumgebungen mit direkter Netzwerkerreichbarkeit der REST-API.
Technische Details
Die Vulnerability klassifiziert sich als Incorrect Authorization (CWE-863) mit improper Access Control. Der anfällige Endpunkt /rest/v2/fastLastQuery validiert die Benutzerberechtigungen nicht korrekt. Authentifizierte Benutzer können dadurch auf Zeitreihendaten zugreifen, für die ihnen keine Zugriffsberechtigung gewährt wurde.
Der Angriff erfolgt über das Netzwerk und erfordert gültige Authentifizierungsdaten. Ein Angreifer mit legitimem Account kann gezielt auf sensitive Last-Value-Metriken zugreifen und diese exfiltrieren. Dies stellt bei IoT-Infrastrukturen mit sensiblen Messdaten ein erhebliches Risiko dar.
Empfohlene Maßnahmen
- Sofortmaßnahmen: Upgrade auf Version 2.0.10 oder 1.3.8+ durchführen
- REST-API-Zugriff auf notwendige Systeme beschränken
- Netzwerk-Segmentierung implementieren
- Audit-Logs auf verdächtige
/rest/v2/fastLastQuery-Anfragen prüfen - IAM-Policies überprüfen und Least-Privilege-Prinzipien erzwingen
Bewertung
CVSS 7.5 (High) – Netzwerk-basierter Zugriff mit authentifizierten Benutzern. Hohe Datenkonfidenzialitätsauswirkungen. Upgrade ist dringend empfohlen. Patches sind verfügbar – ein Patch-Deployment sollte zeitnah erfolgen.
„`