JetBrains Exposed: SQL-Injection über unescapte String-Argumente in SQL-Funktionen

Zusammenfassung

JetBrains Exposed, eine Kotlin-Bibliothek für typsicheren Datenbankzugriff, enthält in Versionen vor 1.5.1 eine SQL-Injection-Schwachstelle. Unescapte String-Argumente mehrerer SQL-Funktionen, etwa locate(), concat(), groupConcat() und match(), lassen sich manipulieren. Ein Angreifer, der nicht vertrauenswürdige Eingaben in diese Funktionen einschleusen kann, könnte Datenbankdaten lesen, verändern oder löschen. Gemäss CVSS-Vektor ist keine Authentifizierung nötig, die Exposition hängt jedoch von jeder Anwendung ab, die Exposed einbettet.

Betroffen

• JetBrains Exposed vor 1.5.1 (0 bis < 1.5.1)

Behoben in

• Exposed 1.5.1 (Korrektur laut Changelog, der in Dependency-Pull-Requests zitiert wird, dem Ticket EXPOSED-1093 zugeordnet; gegen die JetBrains-Advisory prüfen)

Umgehung

Unbekannt. Kein dokumentierter Workaround gefunden. Übergangsmassnahmen (eigene Analyse, keine Herstellerempfehlung):

• Rohe oder benutzergelieferte Eingaben nicht mehr an die betroffenen Funktionen übergeben, bis das Update eingespielt ist.
• Das Datenbankkonto mit minimalen Rechten betreiben, um die Auswirkungen zu begrenzen.

Ausnutzung

• In den geprüften Quellen nicht als aktiv ausgenutzt markiert (nicht gegen den CISA-KEV-Katalog verifiziert).
• Kein öffentlicher Proof of Concept gefunden.
• Das Label "0-Day" von VulDB beschreibt den Offenlegungsstatus, nicht eine bestätigte Ausnutzung.

Unsere Empfehlung

• Anwendungen identifizieren, die Exposed einbetten (Gradle-/Maven-Dateien und SBOMs prüfen).
• Auf 1.5.1 aktualisieren und Abfragen mit den betroffenen Funktionen neu testen. Auf dem Client vorab escapte Werte können nun mit verdoppelten Anführungszeichen gespeichert werden.
• Softwarelieferanten fragen, ob ihre Produkte Exposed verwenden und ob die Korrektur ausgeliefert wurde.
• Zuerst extern erreichbare und Partner-Anwendungen prüfen und auf Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NVD: CVE-2026-108474 nvd.nist.gov
• JetBrains: Fixed security issues www.jetbrains.com
• GitHub pull request 95 (changelog excerpt, EXPOSED-1093) github.com
• GitHub pull request 662 (behaviour change on escaping) github.com
• VulDB: CVE-2026-108474 vuldb.com
• VulDB: entry 416028 vuldb.com
• Canadian Cyber Centre mirror: JetBrains advisory AV26-1032 malware.news
• HOL Guard: CVE-2026-108474 (CISA ADP Vulnrichment, aggregator) hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:03.