Apache Kylin: Unsichere Java-Deserialisierung über externen Cache-Dienst

Zusammenfassung

Apache Kylin, eine OLAP-Engine für Big-Data-Analysen, enthält in den Versionen 4.0.0 bis 5.0.4 eine unsichere Java-Deserialisierung (CWE-502). Gemäss dem CNA kann die unsichere Deserialisierung auftreten, wenn der externe Cache-Dienst fehlerhaft ist oder nicht vertrauenswürdige Daten liefert; ein Angreifer, der den Cache manipulieren kann, könnte daher den Kylin-Host beeinflussen. Der CVSS-v3.1-Basiswert beträgt 9.8 (kritisch) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; das CNA bewertet die technischen Auswirkungen als total und die Automatisierbarkeit als ja. Die Gefährdung hängt vor allem davon ab, ob das Cache-Backend aus nicht vertrauenswürdigen Netzen erreichbar ist.

Betroffen

• Apache Kylin 4.0.0 bis 5.0.4

Behoben in

• Apache Kylin 5.0.5 (vom Hersteller bestätigte Korrektur)

Umgehung

• Unbekannt. Für diese CVE wurde keine Workaround-Massnahme des Herstellers gefunden.
• Eigene Empfehlung, nicht vom Hersteller: Netzwerkzugriff auf den Cache-Dienst so einschränken, dass nur Kylin-Hosts ihn erreichen, Authentifizierung und TLS für den Cache aktivieren und einschränken, wer Daten in den Cache schreiben darf.

Ausnutzung

• Nach den geprüften Quellen ist keine Ausnutzung bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, Automatisierbarkeit ja, technische Auswirkungen total.

Unsere Empfehlung

• Prüfen, ob Apache Kylin 4.x oder 5.0.0 bis 5.0.4 eingesetzt wird, beispielsweise in Data-Plattform-Umgebungen.
• Upgrade auf Apache Kylin 5.0.5 planen und durchführen.
• Bis zum Upgrade Kylin-Hosts und deren Cache-Backend isolieren und sicherstellen, dass der Cache nicht aus nicht vertrauenswürdigen Netzen erreichbar ist.
• Den Cache-Dienst auf unerwartete Zugriffe oder Datenänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Apache mailing list thread (CVE-2026-64610) lists.apache.org
• oss-security post CVE-2026-64610 www.openwall.com
• PT Security advisory PT-2026-115602 vulners.com
• PSIRT aggregator CVE-2026-64610 psirt.com
• CVE Brief archive 2026/10/22 cvebrief.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:41.