Dgraph Zero: Fehlende Authentifizierung bei administrativen HTTP-Routen
Zusammenfassung
Dgraph Zero, die Steuerungskomponente der verteilten GraphQL-Datenbank Dgraph, registriert administrative HTTP-Routen auf Port 6080 ohne Authentifizierung, wenn die administrative Schnittstelle aktiviert ist. Ein entfernter Angreifer, der diesen Port erreichen kann, kann die Cluster-Topologie auslesen, Identifikatoren zuweisen, Tablets verschieben oder über /removeNode Cluster-Mitglieder entfernen. Dies stört die Steuerungsebene und kann abhängige Alpha-Knoten destabilisieren. Es sind keine Zugangsdaten nötig, daher ist die Erreichbarkeit von Port 6080 die entscheidende Bedingung.
Betroffen
- Dgraph-Versionen vor 25.4.0 (die genaue früheste betroffene Version ist unbekannt; die Quellen nennen widersprüchliche Bereiche)
Behoben in
- Dgraph 25.4.0 (Fix-Commit c32f604)
Umgehung
- Ausser dem Upgrade ist kein Workaround des Herstellers dokumentiert.
- Den Zugriff auf den HTTP-Port 6080 von Zero auf der Netzwerk- oder Host-Firewall sperren und nur vertrauenswürdige Administrationshosts zulassen.
- Zero nicht dem Internet aussetzen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- Der Hersteller meldet eine Laborreproduktion des destruktiven Pfads.
- Es wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; die öffentliche Ausnutzung ist unbekannt, nicht ausgeschlossen.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob eine Dgraph-Zero-Instanz von nicht vertrauenswürdigen Netzen auf Port 6080 erreichbar ist, einschliesslich Test- und Staging-Clustern sowie Cloud-VMs.
- Port 6080 sofort auf vertrauenswürdige Hosts beschränken.
- Auf Dgraph 25.4.0 oder neuer aktualisieren und das Upgrade planen, da die Release Notes vor einer unerwarteten Breaking Change in den Befehlen alpha und zero warnen; Startflags von Zero vorab prüfen.
- Nach dem Upgrade ein --security-Token oder eine Whitelist auf Zero konfigurieren.
- Alpha-Logs auf wiederholte Fehler überwachen, die auf eine Störung hinweisen können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-qj98-gp63-54xj github.com
- Fix commit c32f604 github.com
- Dgraph release v25.4.0 github.com
- OSV GHSA-qj98-gp63-54xj osv.dev
- GitLab advisory database advisories.gitlab.com
- Dgraph security overview github.com
- Ratel pull request 432 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.