Motor.NET: Denial of Service über manipulierten Kafka-CloudEvent-Datensatz
Zusammenfassung
Motor.NET vor 0.19.0 enthält eine Denial-of-Service-Schwachstelle im Kafka-Consumer. Ein entfernter Angreifer, der Datensätze in ein konsumiertes Topic schreiben kann, kann einen einzelnen manipulierten Datensatz mit dem Content-Type application/cloudevents+json und ohne die erforderlichen CloudEvent-Attribute id, source und type senden. Der Dienst behandelt die daraus entstehende Exception als fatal und stoppt, und da derselbe Datensatz bei jedem Neustart erneut verarbeitet wird, gerät der Dienst in eine dauerhafte Absturzschleife.
Betroffen
- Motor.NET-Versionen vor 0.19.0 (VulDB beschreibt den Bereich als bis 0.18.x)
- Dienste, die Kafka-Topics mit Motor.NET konsumieren
Behoben in
- Motor.NET 0.19.0
Umgehung
- Unbekannt. Keine Workaround-Massnahme des Herstellers veröffentlicht.
- Schreibzugriff auf die konsumierten Kafka-Topics auf berechtigte Identitäten beschränken (Topic-ACLs).
Ausnutzung
- Unbekannt. Keine Berichte über Ausnutzung in freier Wildbahn, kein Eintrag im CISA KEV und kein öffentlicher Proof of Concept gefunden.
- Der Auslöser ist im öffentlichen CVE-Text beschrieben.
Unsere Empfehlung
- Prüfen, ob eigene oder von Partnern entwickelte .NET-Dienste Motor.NET verwenden, zum Beispiel über Dependency-Lockfiles.
- Motor.NET auf Version 0.19.0 oder neuer aktualisieren.
- Schreibzugriff auf konsumierte Kafka-Topics einschränken.
- Consumer-Dienste auf wiederholte Neustarts überwachen und bei einer Absturzschleife den fehlerhaften Datensatz entfernen oder überspringen.
- Keine Massnahmen nötig, wenn Motor.NET nicht verwendet wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Motor.NET release v0.19.0 github.com
- Fix commit b4b6979 github.com
- Pull request #1785 github.com
- VulnCheck advisory www.vulncheck.com
- Tenable CVE record www.tenable.com
- VulDB entry 425413 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:36.
Referenzen der NVD (4)
- https://github.com/GDATASoftwareAG/motornet/commit/b4b6979f5dd7447dd02312e27d766ae2e9d050c2
- https://github.com/GDATASoftwareAG/motornet/pull/1785
- https://github.com/GDATASoftwareAG/motornet/releases/tag/v0.19.0
- https://www.vulncheck.com/advisories/motor-net-kafka-denial-of-service-via-cloudevents-handler
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.