Hazelcast: Beliebiges Auslesen des Member-Speichers durch Client mit niedrigen Rechten
Zusammenfassung
Hazelcast, eine Java-basierte Echtzeit-Datenplattform und In-Memory-Data-Grid, prüft Daten von einem Client, der mit einem Cluster verbunden ist, nicht ausreichend. Ein böswilliger Client, der einen Cluster-Member erreichen kann, kann den Java-Heap, Off-Heap-Daten und den Speicher des JVM-Prozesses dieses Members auslesen. Dieselbe Schwachstelle kann Cluster-Member zum Absturz bringen und in einigen Hazelcast-Enterprise-Edition-Konfigurationen Speicher beschädigen, was möglicherweise die Ausführung beliebigen Codes erlaubt.
Betroffen
- Hazelcast-Versionen vor 5.4.5
- Hazelcast-Versionen 5.5.0 bis vor 5.5.10
- Hazelcast-Versionen 5.6.0 bis vor 5.6.1
- Slim- und Full-Distributionen sind betroffen
- Ältere Linien (5.3.x und früher) fallen in den Bereich der Advisory und sind nicht gepatcht; die Unterstützung ist bei Hazelcast zu prüfen
Behoben in
- 5.4.5
- 5.5.10
- 5.6.1
- 5.7.0 (enthält die Community-Fixes von Enterprise 5.6.1)
Umgehung
Unbekannt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden
- Kein öffentlicher Exploit bekannt
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
- EPSS 0.00383
Unsere Empfehlung
- Gesamte Hazelcast-Nutzung inventarisieren, einschliesslich transitiver Maven-Abhängigkeiten und Enterprise-Builds, und die Version jeder Instanz erfassen
- Auf 5.4.5, 5.5.10, 5.6.1 oder 5.7.0 aktualisieren, je nach Linie, oder auf einen vom Hersteller unterstützten Build
- Cluster-Member- und Client-Ports auf vertrauenswürdige Netze beschränken und sicherstellen, dass keine aus dem Internet erreichbar sind
- Sicherheit und Autorisierung für Clients aktivieren und prüfen
- Aus dem Internet oder von Partnern erreichbare Cluster sowie Enterprise-Deployments priorisieren
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6v25-8wq6-xq4j github.com
- Hazelcast 5.7 Community Edition release notes docs.hazelcast.com
- Hazelcast 5.7 Enterprise Edition release notes docs.hazelcast.com
- Hazelcast v5.7.0 release github.com
- Fix commit 361979da github.com
- GitLab advisory CVE-2026-107726 advisories.gitlab.com
- OSV CVE-2026-107726 osv.dev
- VulDB 415656 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:52.
Referenzen der NVD (5)
- https://docs.hazelcast.com/hazelcast/5.7/release-notes/community
- https://docs.hazelcast.com/hazelcast/5.7/release-notes/enterprise
- https://github.com/hazelcast/hazelcast/commit/361979da12f18950c24719db832ca6c5e7c0534f
- https://github.com/hazelcast/hazelcast/releases/tag/v5.7.0
- https://github.com/hazelcast/hazelcast/security/advisories/GHSA-6v25-8wq6-xq4j
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.