Camunda 7: Expression Injection in orQueries führt zu Remote Code Execution

Zusammenfassung

Camunda 7 in den Versionen 7.24.0 bis vor 7.24.14 und 7.23.0 bis vor 7.23.17 prüft Expressions in OR-Unterabfragen der Task-Query-API nicht. Ein authentifizierter Benutzer kann eine JUEL-Expression in einen orQueries-Eintrag einschleusen und Betriebssystembefehle als Service-Benutzer der Engine ausführen. Die standardmässige Sperre von Expressions in Ad-hoc-Abfragen verhindert dies nicht, daher ist keine Konfigurationsänderung bekannt, die es blockiert. Von Dritten wird Proof-of-Concept-Code behauptet, der jedoch nicht verifiziert ist.

Betroffen

• Camunda 7 7.24.0 bis vor 7.24.14
• Camunda 7 7.23.0 bis vor 7.23.17
• Versionen 7.22.x und älter: Unbekannt.

Behoben in

• Auf Camunda 7.24.14 oder neuer beziehungsweise 7.23.17 oder neuer aktualisieren.
• Hinweis: Eine Camunda-Sicherheitsmitteilung nennt 7.24.15 als Fix; die korrekte Version beim Hersteller bestätigen.
• Camunda 7 Community Edition ist End of Life und erhält keine weiteren Sicherheitspatches; ein lokaler Patch oder eine Migration ist die realistische Massnahme.

Umgehung

• Kein verifizierter Workaround. Die umgangene Einstellung enableExpressionsInAdhocQueries ist standardmässig bereits auf false gesetzt, daher stoppt ihr Deaktivieren dieses Problem nicht.
• Eine Camunda-Mitteilung empfiehlt, enableExpressionsInAdhocQueries und enableExpressionsInStoredQueries zu deaktivieren; ob dies diese CVE abdeckt, konnte nicht bestätigt werden.
• Den Netzwerkzugriff auf die Camunda REST-API und Tasklist einschränken.

Ausnutzung

• CISA SSVC: Exploitation 'poc', automatisierbar ja, technische Auswirkung total.
• Ausnutzung in freier Wildbahn ist nicht bekannt.
• Eine Drittquelle behauptet Proof-of-Concept-Code; nicht verifiziert.

Unsere Empfehlung

• Alle Camunda-7-Instanzen und deren genaue Versionen erfassen, inklusive Maven-Abhängigkeiten und Docker-Images.
• So rasch wie möglich auf eine korrigierte Version aktualisieren, nachdem die Version beim Hersteller bestätigt wurde.
• Falls ein sofortiges Update nicht möglich ist, den Zugriff auf die Task-REST-API und Tasklist auf vertrauenswürdige Netzwerke beschränken und die Berechtigungen des Service-Kontos prüfen.
• Für Community-Edition-Benutzer eine Migration planen, da keine Sicherheitspatches mehr erscheinen.
• Camunda-Advisories und CISA KEV auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CodeAnt AI security research write-up codeant.ai
• VulnCheck advisory www.vulncheck.com
• Camunda Enterprise Download docs.camunda.org
• Camunda Security Notices docs.camunda.org
• Camunda 7 end-of-life announcement camunda.com
• VulDB entry vuldb.com
• OpenCVE CVE record app.opencve.io
• HOL Guard CVE entry hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:15.