🔴 CVE-2026-75851: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-75851 ist eine kritische Sicherheitslücke in ArcadeDB Server (com.arcadedb:arcadedb-server) in den Versionen 26.7.3 und älter. Die Schwachstelle ermöglicht es Benutzern mit eingeschränkten Leserechten, sich zu vollständigen Serveradministratoren hochzustufen. Durch Ausnutzung eines Authentifizierungsbypass bei asynchronen Befehlen können Angreifer JavaScript-Code mit uneingeschränktem Zugriff ausführen.

Betroffene Systeme

• ArcadeDB Server 26.7.3 und frühere Versionen
• com.arcadedb:arcadedb-server Komponente
• Alle Installationen mit aktiviertem /api/v1/command Endpoint

Technische Details

Die Schwachstelle liegt in der fehlerhaften Weitergabe des authentifizierten Principals (authenticated principal) an asynchrone Command Worker-Threads. Wenn ein HTTP-Befehl mit dem Parameter awaitResponse:false eingereicht wird, führt der ArcadeDB Server diesen auf einem asynchronen Worker aus. Dieser Worker hat keinen gebundenen Benutzer im DatabaseContext, wodurch das Scripting-Autorisierungsgate unwirksam wird.

Ein Angreifer mit Lesezugriff auf eine einzelne Datenbank kann einen JavaScript-Befehl (language=js) über den /api/v1/command Endpoint submitten und damit Code mit uneingeschränktem Host-Zugriff ausführen. Dies ermöglicht kritische Operationen wie database.getSecurity().createUser(), um neue Administrator-Konten zu erstellen und vollständige Serveradministration zu erlangen.

Empfohlene Massnahmen

• Sofortiges Update: Aktualisierung auf ArcadeDB Server 26.8.1 oder neuer erforderlich
• Netzwerk-Isolation: Der /api/v1/command Endpoint sollte auf vertrauenswürdige Netzwerke beschränkt werden
• Authentifizierung überprüfen: Audit durchführen auf verdächtige Benutzerkonten und Administrator-Privilegien
• Monitoring: Überwachung asynchroner JavaScript-Befehle implementieren
• Rollback: Bei Verdacht auf Kompromittierung: Systemwiederherstellung in Betracht ziehen

Bewertung

CVSS Score: 9.9 (Critical)
Angriffsvektor: Network
Authentifizierung erforderlich: Ja (aber mit minimalen Rechten)
Komplexität: Niedrig
Die Schwachstelle erfordert sofortige Aufmerksamkeit und Patch-Implementierung in allen betroffenen Umgebungen.

„`