Apache Kylin: Fehlende Authentifizierung und unsichere Deserialisierung in Broadcast-API
Zusammenfassung
Apache Kylin 4.0.0 bis 5.0.4 enthält eine fehlende Authentifizierung (CWE-306) in einer internen Broadcast-API, kombiniert mit polymorpher Deserialisierung. Laut Eintrag im CVE-Record kann ein nicht authentifizierter Angreifer möglicherweise Remote Code Execution ausführen oder Daten exfiltrieren. Das Hauptrisiko betrifft Kylin-Dienste, die direkt aus dem öffentlichen Netz erreichbar sind; interne Installationen sind laut Herstellerangaben meist nicht betroffen.
Betroffen
- Apache Kylin 4.0.0 bis 5.0.4
Behoben in
- Apache Kylin 5.0.5
- Korrektur für die 4.x-Linie: Unbekannt.
Umgehung
- Es ist kein vom Hersteller dokumentierter Workaround speziell für diese CVE bekannt.
- Bis zum Update den externen Zugriff auf die Kylin-Dienstports blockieren und auf Management-Netze beschränken.
Ausnutzung
- Bekannte Ausnutzung: keine gefunden. Nicht im CISA-KEV-Katalog gelistet.
- Öffentlicher Proof of Concept: keiner gefunden; der Status ist unbekannt und nicht als nicht vorhanden bestätigt.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
- EPSS ca. 0.002 (niedrig).
Unsere Empfehlung
- Prüfen, ob eine Kylin-Instanz 4.x oder 5.0.x (bis 5.0.4) aus dem Internet erreichbar ist, und solche Instanzen als dringend behandeln.
- Externen Zugriff auf die Kylin-Ports blockieren, bis das System aktualisiert ist.
- Auf Apache Kylin 5.0.5 aktualisieren; für die 4.x-Linie beim Hersteller nach einer Korrektur fragen.
- Inventar auf Kylin prüfen, einschliesslich auf Kylin basierender BI-Umgebungen.
- Logs auf unerwartete Anfragen an die Broadcast-API überwachen.
- Hinweis: Der CVSS-Wert 9.8 ist von NVD noch nicht bestätigt (Status Deferred); andere Quellen nennen 8.1 (CVSS 3.1) und 9.2 (CVSS 4).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache oss-security mailing list post www.openwall.com
- Apache vendor thread lists.apache.org
- OpenCVE CVE record app.opencve.io
- Strix CVE details www.strix.ai
- HOL Guard version range hol.org
- Mend/Vulners CVSS and EPSS vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.