AllData: Unauthentifizierte JDBC-Injection im data-dts-Dienst

Zusammenfassung

AllData bis Version 0.7.1 enthält eine unauthentifizierte JDBC-Injection-Schwachstelle im data-dts-Dienst, die über den Endpunkt /jobJdbcDatasource/test erreichbar ist. Ein Angreifer aus dem Netzwerk kann Werte für jdbcUrl und jdbcDriverClass übergeben und so beliebige Datenbankverbindungen öffnen. Mit einer MySQL-JDBC-URL mit allowLoadLocalInfile=true, die auf einen vom Angreifer kontrollierten Server zeigt, lassen sich beliebige Dateien vom data-dts-Host lesen. Es ist keine Authentifizierung und keine Benutzerinteraktion nötig, der Dienst muss jedoch über das Netzwerk erreichbar sein.

Betroffen

• AllData bis 0.7.1 (alldatacenter/alldata)
• Betroffene Komponente: data-dts-Dienst, Endpunkt /jobJdbcDatasource/test
• Unbekannt, ob weitere Versionen oder Builds über den CNA-Bereich hinaus betroffen sind

Behoben in

• Unbekannt. In den geprüften Quellen wurde kein korrigiertes Release oder Patch gefunden.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Den data-dts-Dienst nicht aus dem Internet erreichbar machen; Zugriff nur über VPN oder freigegebene Netzwerke erlauben.
• Ausgehende Datenbankverbindungen vom data-dts-Host einschränken.
• Die Authentifizierungskonfiguration in WebSecurityConfiguration.java prüfen.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: partiell.
• VulDB gibt an, dass kein Exploit verfügbar ist.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA KEV nicht geprüft.
• Die Angaben zur Auswirkung widersprechen sich zwischen den Quellen (Remote-DoS versus Remote-Dateilesezugriff).

Unsere Empfehlung

• Prüfen, ob AllData in Ihrer Umgebung eingesetzt wird. Falls nicht, ist keine Massnahme nötig.
• Falls im Einsatz: Die data-dts-Komponente abschalten oder von unvertrauenswürdigen Netzwerken isolieren, bis ein korrigiertes Release bestätigt ist.
• Ausgehende Verbindungen vom data-dts-Host einschränken und auf unerwartete Datenbankverbindungen und Dateizugriffe überwachen.
• Das Repository des Herstellers und NVD auf eine Korrektur prüfen und bei Verfügbarkeit aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• AllData GitHub repository github.com
• WebSecurityConfiguration.java (release 0.7.1) github.com
• JobDatasourceController.java (release 0.7.1) github.com
• BaseQueryTool.java (release 0.7.1) github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• VulDB entry 421379 vuldb.com
• OSV record CVE-2026-111613 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:16.