🟠 CVE-2026-67357: High Schwachstelle

„`html

Zusammenfassung

ArcadeDB-Versionen vor 26.7.3 enthalten eine kritische Sicherheitslücke zur Offenlegung von Informationen (Information Disclosure). Die Schwachstelle befindet sich im MCP-Tool get_server_settings und ermöglicht es Angreifern mit MCP-Zugriff, das Cluster-Token arcadedb.ha.clusterToken im Klartext auszulesen. Mit diesem Token können Angreifer Root-Privilegien annehmen und die vollständige Kontrolle über den Server übernehmen.

Betroffene Systeme

• ArcadeDB vor Version 26.7.3
• Systeme mit aktiviertem MCP-Interface
• Cluster-Konfigurationen mit aktivierter HA-Funktionalität

Technische Details

Die Vulnerability ermöglicht die Extraktion des Cluster-Tokens über das MCP-Protokoll ohne Authentifizierung oder Autorisationsprüfung. Das Token wird in der Antwort der get_server_settings-Funktion im Klartext übermittelt.

Angreifer können das gewonnene Token in HTTP-Requests mit folgenden Headern missbrauchen:

• X-ArcadeDB-Cluster-Token

Dies ermöglicht die Impersonation des Root-Benutzers und damit die vollständige Kompromittierung des ArcadeDB-Servers, einschließlich Datenzugriff, Datenmanipulation und Systemkonfigurationsänderungen.

Empfohlene Massnahmen

• Sofortige Priorisierung: Upgrade auf ArcadeDB 26.7.3 oder später durchführen
• Zugriffskontrolle: MCP-Interface auf vertrauenswürdige Netzwerksegmente beschränken
• Monitoring: MCP-Zugriffe und ungewöhnliche Header in Logs überwachen
• Netzwerk-Isolation: ArcadeDB-Server hinter Firewall mit restriktiven Regeln positionieren
• Token-Rotation: Nach dem Patch Cluster-Token zurücksetzen

Bewertung

CVSS-Score: 7.5 (High) – Die Schwachstelle erlaubt Remote-Attackern ohne Authentifizierung über das Netzwerk, sensitive Informationen auszulesen und darauf aufbauend Administrative-Privilegien zu erlangen. Die Verfügbarkeit eines öffentlichen Patches fehlt derzeit, was die Dringlichkeit erhöht.

„`