Stirling-PDF: Denylist-Umgehung beim H2-Datenbankimport erlaubt Java-Methodenausführung

Zusammenfassung

Stirling-PDF in den Versionen 2.13.2 bis 3.2.0 enthält eine unvollständige Denylist in der Datenbank-Importfunktion. Ein authentifizierter Administrator kann ein präpariertes SQL-Backup hochladen, das mit H2 CREATE OR REPLACE ALIAS und RUNSCRIPT Java-Funktionsaliasse definiert und Java-Methoden ausführt. Die Umgehung der Denylist wurde im Labor verifiziert, die vollständige Remote Code Execution ist hingegen nicht bestätigt.

Betroffen

• Stirling-PDF 2.13.2 bis 3.2.0 (inklusive)
• Gemäss CVE-Eintrag ist die Standardkonfiguration nicht betroffen.

Behoben in

Unbekannt. Kein Hersteller-Advisory nennt eine korrigierte Version. Version 3.2.1 folgte auf 3.2.0, jedoch verlinkt keine Quelle sie mit dieser CVE, daher sollte sie erst als Korrektur gelten, wenn der Hersteller dies bestätigt.

Umgehung

• Den Zugriff auf die Administrationsoberfläche auf VPN oder interne Netze beschränken.
• Administrative Rechte auf das notwendige Minimum an Konten begrenzen und eindeutige, starke Passwörter mit MFA verwenden, wo unterstützt.
• Die Datenbank-Importfunktion deaktivieren oder meiden, wo sie nicht benötigt wird.
• Jeden unerwarteten Backup- oder Importvorgang als möglichen Kompromiss der Datenbankschicht untersuchen.

Ausnutzung

• Nicht bekanntermassen aktiv ausgenutzt; nicht im CISA-KEV-Katalog aufgeführt.
• Öffentlicher Proof of Concept von Abraxas Labs verfügbar.
• CISA SSVC: exploitation poc, automatable no, technical impact total.
• Die Umgehung der Denylist ist im Labor verifiziert. Die vollständige Remote Code Execution ist abgeleitet und nicht verifiziert.

Unsere Empfehlung

• Prüfen, ob Stirling-PDF in den Versionen 2.13.2 bis 3.2.0 eingesetzt wird und ob es aus dem Internet erreichbar ist.
• Die Internetexposition der Administrationsoberfläche entfernen und den Zugriff nur über VPN oder intern erzwingen.
• Administrationskonten überprüfen, starke Passwörter und MFA durchsetzen und nicht benötigte Administratorrechte entfernen.
• Die Datenbank-Importfunktion deaktivieren, falls sie nicht benötigt wird.
• Auf unerwartete Datenbankimporte oder Änderungen an Backups achten.
• Beim Hersteller oder in den GitHub-Security-Advisories eine bestätigte korrigierte Version erfragen und sofort einspielen, sobald sie verfügbar ist.
• CVE-2026-113606 (Autorisierungsumgehung in 3.0.0 bis 3.2.0) gleichzeitig beheben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Stirling-PDF H2 SQL denylist bypass www.vulncheck.com
• Stirling-PDF DatabaseService.java (v3.2.0) github.com
• Abraxas Labs: H2 import leftover research abraxaslabs.tech
• Abraxas Labs: Stirling-PDF 3.2.0 leftovers abraxaslabs.tech
• Abraxas Labs proof-of-concept repository github.com
• OpenCVE: CVE-2026-113605 app.opencve.io
• VulDB entry 422876 vuldb.com
• HOL Guard: CVE-2026-113605 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:36.