„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-49876 betrifft Apache Gravitino und ermöglicht authentifizierten Angreifern,
Server-Side Request Forgery (SSRF) Attacken durchzuführen. Die Schwachstelle liegt in der unzureichenden
Validierung von Job-Template-URIs im JobManager. Dadurch können HTTP-Anfragen an interne Netzwerke und
Cloud-Metadaten-Endpunkte initiiert werden. Mit einem CVSS-Score von 6.5 wird diese als Medium-Schweregrad
eingestuft.
Betroffene Systeme
Folgende Versionen von Apache Gravitino sind vulnerabel:
- Apache Gravitino 1.0.0 bis einschließlich 1.2.1
Die Schwachstelle kann von authentifizierten Benutzern ausgenutzt werden, die Zugriff auf den JobManager
haben.
Technische Details
Das Kernproblem besteht in der fehlenden Validierung von URI-Eingaben in Job-Templates des Gravitino
JobManagers. Ein authentifizierter Angreifer kann speziell manipulierte Job-Templates mit arbitrary URIs
erstellen. Der JobManager führt dann HTTP-Requests zu diesen URIs aus, ohne diese vorher zu validieren.
Dies ermöglicht es dem Angreifer, auf interne Netzwerkressourcen zuzugreifen oder Cloud-Metadaten-Endpunkte
abzufragen (z.B. AWS EC2 Metadata Service, Azure Instance Metadata Service). Dadurch können sensitive
Informationen wie Credentials, API-Keys oder Konfigurationsdaten kompromittiert werden.
Der Angriffsvektor ist netzwerkbasiert und erfordert vorherige Authentifizierung.
Empfohlene Massnahmen
- Sofort durchführen: Upgrade auf Apache Gravitino Version 1.3.0 oder höher
- Implementierung von URI-Validierungen und Whitelist-Mechanismen für Job-Templates
- Netzwerk-Segmentierung zur Isolation des Gravitino-Systems
- Ãœberwachung ausgehender HTTP-Anfragen aus dem JobManager
- Einschränkung von Zugriffsrechten auf Job-Management-Funktionen
Bewertung
CVSS v3.1 Score: 6.5 (Medium)
Patch verfügbar: Ja
Empfehlung: Upgrade auf Version 1.3.0 durchführen
„`