OpenSearch SQL-Plugin: Unsichere Deserialisierung im cursor-Parameter ermöglicht Codeausführung
Zusammenfassung
Das SQL-Plugin von OpenSearch in den Versionen 2.x ab 2.8.0.0 bis vor 2.19.6.0 sowie in den Versionen 3.x vor 3.7.0.0 deserialisiert den cursor-Parameter des Endpunkts plugins/sql ohne ausreichende Prüfung. Ein entfernter Benutzer mit einfachen Lese- und Suchrechten kann einen manipulierten cursor senden und beliebigen Code auf dem Server ausführen. Voraussetzung ist ein gültiges Konto mit Leserechten, wie sie etwa bei gemeinsam genutzten Reporting- oder Dashboard-Konten vorkommen können.
Betroffen
- opensearch-project sql 2.8.0.0 bis vor 2.19.6.0
- opensearch-project sql 3.0.0.0-alpha1 bis vor 3.7.0.0
Behoben in
- Aktualisierung auf 2.19.6.0 oder neuer in der Linie 2.x
- Aktualisierung auf 3.7.0.0 oder neuer in der Linie 3.x
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert; die korrigierte Version ist anzuwenden.
Ausnutzung
- Gemäss VulDB sind technische Details bekannt, es wurde jedoch kein öffentlicher Exploit gefunden.
- Zum Zeitpunkt der Recherche gab es keine Hinweise auf eine aktive Ausnutzung und keinen Eintrag im CISA-KEV-Katalog.
Unsere Empfehlung
- Alle OpenSearch-Cluster und deren SQL-Plugin-Versionen inventarisieren, inklusive AWS-verwalteter Domains.
- Selbst betriebene Installationen auf 2.19.6.0 oder 3.7.0.0 aktualisieren. Für verwaltete Domains die AWS-Service-Updates einspielen.
- Den OpenSearch-Cluster und dessen SQL-Endpunkt nicht aus dem Internet erreichbar machen; Netzwerkzugriff einschränken.
- Konten mit Lese- und Suchrechten prüfen, nicht benötigte oder gemeinsam genutzte Konten entfernen und das Least-Privilege-Prinzip durchsetzen.
- Den SQL-Endpunkt auf auffällige Anfragen und die OpenSearch-JVM auf unerwartete Kindprozesse überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r8cv-xvqm-4qj4 github.com
- OpenSearch SQL release 2.19.6.0 github.com
- OpenSearch SQL release 3.7.0.0 github.com
- Fix commit 402a284 (PR #5469) github.com
- Fix commit 9ab5038 (PR #5572) github.com
- VulDB entry 429443 vuldb.com
- AWS security bulletin 2026-092 (possibly same flaw, CVE-2026-83497) aws.amazon.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:15.
Referenzen der NVD (7)
- https://github.com/opensearch-project/sql/commit/402a284f1dff3545236480b67f860aa93fb667de
- https://github.com/opensearch-project/sql/commit/9ab50384d3ad571a14211415fba2f6d26d4c80db
- https://github.com/opensearch-project/sql/pull/5469
- https://github.com/opensearch-project/sql/pull/5572
- https://github.com/opensearch-project/sql/releases/tag/2.19.6.0
- https://github.com/opensearch-project/sql/releases/tag/3.7.0.0
- https://github.com/opensearch-project/sql/security/advisories/GHSA-r8cv-xvqm-4qj4
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.