Nitrite Java: Ungefilterte Java-Deserialisierung in legacy v1-Migrationspfad

Zusammenfassung

Nitrite, eine quelloffene, eingebettete NoSQL-Dokumentendatenbank für Java, deserialisiert beim Öffnen einer Datenbankdatei im Legacy-v1-Format Werte ohne jegliche Klassenbeschränkung. Ein Angreifer, der erreichen kann, dass die Anwendung eine präparierte Datei öffnet, etwa über einen Upload, einen Import oder eine Backup-Wiederherstellung, kann bewirken, dass beliebige serialisierbare Klassen im Classpath instanziiert und deren Callbacks ausgeführt werden. Für Remote Code Execution muss zusätzlich eine geeignete Gadget-Klasse, etwa aus commons-collections, im Classpath vorhanden sein.

Betroffen

• org.dizitart:nitrite-mvstore-adapter (Nitrite Java) Versionen vor 4.4.1 (Advisory nennt <= 4.4.0)
• Anwendungen, die Nitrite einbetten und Datenbankdateien aus unsicheren Quellen öffnen, sind gefährdet

Behoben in

• Version 4.4.1: Der v1-Compat-Deserialisierer erzwingt eine JEP-290-Allowlist, die nur Nitrite- und Standard-JDK-Typen zulässt

Umgehung

Unbekannt. Kein Workaround des Herstellers gefunden.

• Datenbankdateien aus unsicheren Quellen (Uploads, Importe, wiederhergestellte Backups, synchronisierte Dateien) nicht öffnen
• Schreibzugriff auf Pfade der Datenbankdateien einschränken
• Classpath auf Gadget-Bibliotheken wie commons-collections prüfen

Ausnutzung

• Zum Zeitpunkt der Recherche nicht bekannt, dass die Lücke aktiv ausgenutzt wird
• Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept gefunden
• CISA-KEV-Status: unbekannt

Unsere Empfehlung

• Alle Java-Anwendungen mit Nitrite finden, einschliesslich Shaded JARs und Container-Images
• Mindestens auf 4.4.1 aktualisieren; 5.x ist das sicherere Ziel, falls die Anwendung migriert werden kann, da andere Nitrite-Lücken nur in 5.x behoben sind
• Anwendungen priorisieren, die Datenbankdateien importieren, wiederherstellen oder synchronisieren
• CNA-Bewertung 9.8 als Planungsgrundlage verwenden; VulDB bewertet mit 7.3, das tatsächliche Risiko hängt von der Anwendung ab

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9297-g93h-86gg github.com
• Nitrite v4.4.1 release github.com
• VulDB entry 435608 vuldb.com
• OffSeq threat radar entry radar.offseq.com
• CVE-2026-64678 summary (threatint) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:21.