Camunda 7: Fehlende Autorisierungsprüfung bei Task-Kommentar- und Anhang-Endpunkten
Zusammenfassung
Mehrere REST-Endpunkte für Task-Kommentare und Anhänge in Camunda 7 umgehen die Autorisierungsprüfung, welche ihre Listen-Endpunkte anwenden. Ein authentifizierter Benutzer ohne jegliche Berechtigungen kann Kommentarinhalte und Anhänge lesen sowie Anhänge dauerhaft löschen, sofern er die passende Task-ID und Objekt-ID kennt. Die Schwachstelle betrifft nur Installationen, bei denen Authentifizierung und Autorisierung in der Engine aktiviert sind, und die Community Edition erhält möglicherweise keinen Fix.
Betroffen
- Camunda 7.24.0 bis vor 7.24.14
- Camunda 7.23.0 bis vor 7.23.17
- Versionen vor 7.23.0: Unbekannt.
Behoben in
- Camunda 7.24.14
- Camunda 7.23.17
- Camunda 7 Community Edition: Verfügbarkeit eines Patches Unbekannt (die Community Edition ist End of Life).
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround identifiziert.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc' (öffentlicher Proof of Concept), nicht automatisierbar, totale technische Auswirkung.
- Der Angriff erfordert ein authentifiziertes Benutzerkonto sowie Kenntnis gültiger Task- und Objekt-IDs.
- Laut den Forschenden sind die IDs über die API nicht enumerierbar.
Unsere Empfehlung
- Camunda 7 Enterprise auf 7.24.14 oder 7.23.17 bzw. auf die gepatchte Version Ihres Zweigs aktualisieren.
- Bei Einsatz der Community Edition prüfen, ob ein Patch verfügbar ist. Andernfalls eine Migration planen oder einen lokalen Patch anwenden.
- Prüfen, welche Konten sich an der REST-API der Engine authentifizieren können, und nicht benötigte Zugriffe entfernen.
- Audit-Logs auf unerwartete Lesezugriffe oder Löschungen von Task-Kommentaren und Anhängen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-109431 Security Research (CodeAnt AI) codeant.ai
- VulnCheck advisory: Camunda Missing Authorization in Task Sub-Resources www.vulncheck.com
- VulDB entry CVE-2026-109431 vuldb.com
- Camunda Enterprise Download docs.camunda.org
- Camunda security notices docs.camunda.org
- Camunda 7 Enterprise end-of-life extension camunda.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.