Apache IoTDB: Fehlende Authentifizierung für kritische Funktion
Zusammenfassung
Apache IoTDB in den Versionen 2.0.0 bis 2.0.10 enthält eine fehlende Authentifizierungsprüfung für eine kritische Funktion (CWE-306). Der CNA stuft die Schwachstelle mit CVSS 9.8 (kritisch) ein, und der Vektor zeigt, dass sie ohne Berechtigungen und ohne Benutzerinteraktion über das Netzwerk erreichbar ist. Die offizielle Beschreibung nennt die betroffene Komponente und die genaue Auswirkung nicht; der Betreff der Mailingliste erwähnt Remote Code Execution und nicht authentifizierte Path Traversal, was noch nicht bestätigt ist. Instanzen, die aus nicht vertrauenswürdigen Netzen erreichbar sind, sind am stärksten gefährdet.
Betroffen
- Apache IoTDB 2.0.0 bis vor 2.0.11 (also 2.0.0 bis 2.0.10)
- Versionen 1.x: Unbekannt. Bei Apache prüfen.
Behoben in
- Apache IoTDB 2.0.11
Umgehung
- Vom Hersteller wurde kein Workaround veröffentlicht.
- Netzwerkzugriff auf die IoTDB-Ports auf bekannte Clients und Administrator-Hosts beschränken, bis 2.0.11 installiert ist (eigene Empfehlung, nicht vom Hersteller genannt).
Ausnutzung
- Bekannte Ausnutzung in freier Wildbahn: keine gefunden. Laut Strix nicht in der KEV-Liste; dies ist kein Beweis für eine fehlende Ausnutzung.
- Öffentlicher Proof of Concept: für diese CVE nicht bestätigt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle IoTDB-Instanzen und Versionen inventarisieren, einschliesslich Docker- und eingebetteter Installationen.
- Instanzen 2.0.x vorrangig auf 2.0.11 aktualisieren, insbesondere solche, die von ausserhalb des lokalen Netzes erreichbar sind.
- Zugriff auf die IoTDB-Ports jetzt einschränken, bis das Update abgeschlossen ist.
- Logs auf unerwartete Verbindungen oder Konfigurationsänderungen prüfen.
- NVD und die Apache-Sicherheitsmitteilung auf Aktualisierungen des Scores und der betroffenen Komponenten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache oss-security thread (lists.apache.org) lists.apache.org
- Openwall oss-security post CVE-2026-59562 www.openwall.com
- Apache IoTDB advisory copy (mail-archive) www.mail-archive.com
- Apache IoTDB 2.0.11 release github.com
- OpenCVE CVE-2026-59562 app.opencve.io
- VulDB entry 424747 vuldb.com
- Strix CVE-2026-59562 www.strix.ai
- Eventus Security advisory on Apache IoTDB flaws advisory.eventussecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:20.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.