DHIS2 core: Remote Code Execution durch unsichere Java-Deserialisierung

Zusammenfassung

Die DHIS2-core-Versionen 2.42.0 bis vor 2.42.5.1 und 2.43.0 bis vor 2.43.0.1 sind von einer unsicheren Java-Deserialisierung nicht vertrauenswürdiger Daten betroffen (CWE-502). Ein Angreifer, der die verwundbare Funktionalität erreichen kann, kann beliebigen Code auf dem Server ausführen, was zur vollständigen Kompromittierung des Systems und seiner Daten führen kann. Der CNA-Eintrag verlangt hohe Privilegien (PR:H), das Herstelleradvisory nennt jedoch niedrige Privilegien (PR:L) mit hoher Komplexität, daher sind die genauen Voraussetzungen umstritten und sollten konservativ beurteilt werden.

Betroffen

• DHIS2 core 2.42.0 bis vor 2.42.5.1
• DHIS2 core 2.43.0 bis vor 2.43.0.1
• Versionen unterhalb 2.42.0: nicht durch die Quellen abgedeckt
• 2.44: Das Herstelleradvisory führt den Entwicklungszweig vor PR #24162 als betroffen auf; der CNA-Eintrag nennt 2.44 nicht. Unklar.

Behoben in

• 2.42.5.1
• 2.43.0.1
• 2.44 (beim Hersteller bestätigen, dass der veröffentlichte 2.44-Build den Fix enthält)

Umgehung

• Vom Hersteller verifizierter Workaround ist nicht dokumentiert. Das Einspielen des Patches ist die einzig beschriebene Behebung.
• Generische Massnahmen aus einem Drittanbieter-Leitfaden, nicht vom Hersteller verifiziert: DHIS2 in einer segmentierten Netzwerkzone isolieren, eingehenden Zugriff auf vertrauenswürdige IP-Bereiche beschränken und Egress-Filterung anwenden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Laut den geprüften Quellen nicht als bekannt ausgenutzt (KEV) gelistet.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept gefunden; die Analysen sind allenfalls veraltet.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Alle DHIS2-Instanzen und deren genaue Versionen erfassen, inklusive Test- und Schulungsservern.
• Gemäss Herstelleradvisory auf 2.42.5.1, 2.43.0.1 oder 2.44 aktualisieren und bestätigen, dass der 2.44-Build den Fix enthält.
• Falls der Patch verzögert wird, den Zugriff auf vertrauenswürdige Netzwerke beschränken und Admin- und Benutzerkonten prüfen.
• Prüfen, ob DHIS2 aus dem Internet erreichbar ist; falls ja, dies als dringend behandeln.
• Logs auf ungewöhnliche Prozesserstellung, ausgehende Verbindungen und Dateiänderungen auf dem DHIS2-Host prüfen.
• Die verwandte SQL-Injection CVE-2026-55084 im gleichen Update-Zyklus prüfen.
• NVD, CISA KEV und das GitHub-Advisory wöchentlich erneut prüfen, da die NVD-Analyse noch ausstand und der CVSS-Vektor nicht feststeht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3fr2-wvqx-cmr5 github.com
• DHIS2 release 2.42.5.1 github.com
• DHIS2 release 2.43.0.1 github.com
• OSV entry CVE-2026-55083 osv.dev
• VulDB CVE-2026-55083 vuldb.com
• TheHackerWire CVE-2026-55083 analysis www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:45.