Apache Kylin: Authentifizierungsumgehung im internen Netzwerk
Zusammenfassung
Apache Kylin, eine OLAP-Analyse-Engine, in den Versionen 4.0.4 bis 5.0.4 enthält eine Authentifizierungsumgehung (CWE-287), die Zugriff ohne gültige Authentifizierung ermöglicht. Laut Hersteller benötigt ein Angreifer Netzwerkzugriff auf die Kylin-Dienste, und die Auswirkungen betreffen vor allem Instanzen, die direkt aus dem öffentlichen Netz erreichbar sind, während interne Installationen meist nicht betroffen sind. Eine erfolgreiche Ausnutzung kann zu einer vollständigen Beeinträchtigung von Vertraulichkeit, Integrität und Verfügbarkeit führen. Die CVSS-Bewertung 9.8 stammt aus den übermittelten Daten und ist von der NVD noch nicht bestätigt.
Betroffen
- Apache Kylin 4.0.4 bis 5.0.4 (gemäss CNA-Eintrag)
- Unbekannt: ob 4.0.0 bis 4.0.3 betroffen sind; Schwester-CVEs derselben Charge nennen 4.0.0 als untere Grenze
- Java-Bibliotheksartefakte von Kylin können ebenfalls betroffen sein, z. B. org.apache.kylin:kylin-engine-build-sdk 5.0.0 bis 5.0.4 (Auflistung einer Drittdatenbank)
Behoben in
- Apache Kylin 5.0.5 (vom Hersteller empfohlen)
- Unbekannt: ob eine korrigierte 4.x-Version existiert
Umgehung
- Vom Hersteller wurde kein Workaround veröffentlicht.
- Allgemeine Absicherung in der Tiefe: eingehenden Zugriff auf die Kylin-Ports auf bekannte, vertrauenswürdige IP-Adressen beschränken.
Ausnutzung
- Laut Aggregator-Seiten ist kein öffentlicher Proof of Concept gemeldet; in den geprüften Quellen nicht im CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- EPSS etwa 0.004 (niedrig).
- Den CISA KEV vor einer Entscheidung erneut prüfen.
Unsere Empfehlung
- Prüfen, ob Apache Kylin installiert ist, auch als Bibliothek in anderen Anwendungen.
- Instanzen priorisieren, die aus dem Internet, einem Partnernetz oder einer DMZ erreichbar sind, und deren Exposition jetzt einschränken.
- Auf 5.0.5 aktualisieren; beim Hersteller nachfragen, ob 4.x-Benutzer eine separate Korrektur benötigen.
- Zugriff auf die Kylin-Ports auf vertrauenswürdige Adressen beschränken und Logs auf unerwartete Zugriffe überwachen.
- Zusammen mit CVE-2026-68573 und CVE-2026-108771 aus derselben Charge patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- oss-security post (Openwall) www.openwall.com
- Apache mailing list thread lists.apache.org
- Strix CVE-2026-108709 www.strix.ai
- Vulners CIRCL CVE-2026-108709 vulners.com
- VulDB CVE-2026-108709 vuldb.com
- TheHackerWire CVE-2026-108709 www.thehackerwire.com
- Vulners PT-2026-116146 vulners.com
- Apache Kylin release notes kylin.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.