Clidey WhoDB: Path Traversal im DuckDB-Abfrageeditor erlaubt Lesen und Schreiben von Dateien

Zusammenfassung

WhoDB, ein Werkzeug zur Datenbankverwaltung, enthält in seiner DuckDB-Funktion eine Path-Traversal-Schwachstelle. Im Server-Modus mit einer DuckDB-Datei kann ein nicht authentifizierter Angreifer über den Abfrageeditor mit DuckDB-Dateifunktionen beliebige Dateien auf dem Host lesen und schreiben. Betroffen sind damit auch session.key und gespeicherte Datenbank-Zugangsdaten, und Dateien können überschrieben werden, was zu Datenverlust führen kann. Über das Internet erreichbare Instanzen sind am stärksten gefährdet.

Betroffen

• WhoDB 0.104.0 bis einschliesslich vor 0.135.0
• Nur Installationen im Server-Modus mit einer DuckDB-Datei als Datenquelle sind betroffen
• Instanzen mit ausschliesslich PostgreSQL, MySQL oder ähnlichen Datenquellen sind von dieser Schwachstelle nicht betroffen

Behoben in

• WhoDB 0.135.0 oder neuer (Sicherheitshinweis des Herstellers GHSA-x3h5-pr45-fx4r)

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme; das Aktualisieren ist die Behebung
• Übergangsmassnahmen, falls nicht sofort aktualisiert werden kann (Empfehlung des Herausgebers): WhoDB vom Internet trennen, den Zugriff auf vertrauenswürdige Administrationsnetze beschränken und DuckDB-Datenquellen im Server-Modus deaktivieren oder entfernen

Ausnutzung

• Keine Berichte über Ausnutzung in freier Wildbahn gefunden
• Der Sicherheitshinweis des Herstellers beschreibt den Angriff so detailliert, dass ein Exploit erstellt werden kann
• CISA-SSVC im CVE-Eintrag: Exploit-PoC vorhanden, nicht automatisierbar, vollständige technische Auswirkung

Unsere Empfehlung

• WhoDB auf Version 0.135.0 oder neuer aktualisieren und das verwendete Docker-Image-Tag prüfen
• Prüfen, ob WhoDB aus dem Internet erreichbar ist und ob DuckDB-Datenquellen konfiguriert sind
• Die oben genannten Übergangsmassnahmen anwenden, falls nicht sofort aktualisiert werden kann
• Protokolle auf unerwarteten Zugriff auf DuckDB-Datenquellen prüfen
• Bei vermutetem Datenabfluss in WhoDB gespeicherte Datenbank-Zugangsdaten rotieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-x3h5-pr45-fx4r github.com
• WhoDB release 0.135.0 github.com
• WhoDB fix commit 80111c9 github.com
• VulnCheck advisory www.vulncheck.com
• WhoDB db.go at 0.134.0 github.com
• WhoDB duckdb.go at 0.134.0 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:17.