Hazelcast: Fehlende Autorisierung in IMap Predicates API erlaubt Codeausführung
Zusammenfassung
Hazelcast, eine Echtzeit-Datenplattform, weist in der IMap Predicates API eine fehlende Autorisierungsprüfung auf. Ein authentifizierter Client mit eingeschränkten Berechtigungen kann beliebigen Code auf einem Hazelcast-Cluster-Member ausführen, was der Hersteller mit dem Schweregrad Hoch (CVSS 4.0 8.7) bewertet. Ein Angriff setzt gültige Client-Zugangsdaten und Netzwerkzugriff auf den Cluster voraus.
Betroffen
- Hazelcast-Versionen vor 5.4.5
- Hazelcast 5.5.0 bis vor 5.5.10
- Hazelcast 5.6.0 bis vor 5.6.1
- Hinweis: Die GitLab-Advisory-Datenbank listet alle Versionen vor 5.7.0 als betroffen. Massgeblich sind die oben genannten Bereiche des Herstellers.
Behoben in
- 5.4.5
- 5.5.10
- 5.6.1
- 5.7.0
- Enterprise-Kunden mit erweiterten Supportverträgen sollen sich für Patches älterer Zweige an den Hazelcast-Support wenden.
Umgehung
Keine vom Hersteller veröffentlichte Massnahme. Bis zur Behebung den Kreis der Clients, die sich mit dem Cluster verbinden können, einschränken sowie Client-Berechtigungen und Netzwerkzugriff auf die Member-Ports begrenzen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- In den geprüften Quellen wurden kein öffentlicher Proof of Concept und keine bekannte Ausnutzung in freier Wildbahn gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
- EPSS 0.00385 (laut Vulners).
Unsere Empfehlung
- Prüfen, ob Hazelcast eingesetzt wird, zum Beispiel in individuellen oder Drittanbieter-Java-Anwendungen, und welche Version läuft.
- Auf eine korrigierte Version des eigenen Zweigs so rasch wie möglich aktualisieren.
- Sicherstellen, dass Cluster- und Client-Ports nicht aus dem Internet erreichbar sind, und Client-Zugangsdaten überprüfen.
- Das Update als dringend behandeln, wenn Clients extern sind oder Zugangsdaten geteilt werden.
- Logs der Cluster-Member auf ungewöhnliche Client-Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-w294-6q5q-53p8 github.com
- Hazelcast Community Edition Release Notes 5.7 docs.hazelcast.com
- Hazelcast Enterprise Edition Release Notes 5.7 docs.hazelcast.com
- Fix commit 5d68f4828e2a914398a39f12fe11cafd335cefe0 github.com
- OSV CVE-2026-107725 osv.dev
- OSV GHSA-w294-6q5q-53p8 osv.dev
- GitLab Advisory Database CVE-2026-107725 advisories.gitlab.com
- Tenable CVE-2026-107725 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:13.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.