Apache DolphinScheduler: Autorisierungsumgehung im Task-Definition-with-upstream-Endpunkt
Zusammenfassung
Ein authentifizierter Benutzer von Apache DolphinScheduler kann Task-Definitionen und deren Upstream-Abhängigkeiten in Projekten ändern, für die er nicht autorisiert ist. Der REST-Endpunkt /dolphinscheduler/projects/{projectCode}/task-definition/{code}/with-upstream prüft nicht, ob die Task-Definition zum im URL angegebenen Projekt gehört. Ein Angreifer benötigt ein gültiges Konto mit Zugriff auf mindestens ein Projekt, daher hängt das Risiko davon ab, wer Konten auf der Instanz besitzt. Betroffen sind die Integrität der Workflows und die Ausführung von Tasks, nicht unmittelbar die Offenlegung von Daten.
Betroffen
- Apache DolphinScheduler vor 3.4.3
- Drittanbieter-Quellen nennen engere Bereiche (zum Beispiel 3.4.0 bis 3.4.2); die Herstellerangabe umfasst alle Versionen unter 3.4.3.
Behoben in
- Auf Apache DolphinScheduler 3.4.3 oder neuer aktualisieren.
Umgehung
Unbekannt.
- Projektbezogene Berechtigungen auf das nötige Minimum beschränken.
- Zugriff auf die API auf das interne Netzwerk oder VPN begrenzen.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn festgestellt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Exploit und kein CISA-KEV-Eintrag bekannt.
Unsere Empfehlung
- Prüfen, ob DolphinScheduler eingesetzt wird, welche Version läuft und ob die Instanz aus dem Internet erreichbar ist.
- Auf Version 3.4.3 oder neuer aktualisieren; dies deckt auch die verwandten Apache-Advisories derselben Serie ab.
- Benutzerkonten und Projektberechtigungen prüfen und nicht benötigte Zugriffe entfernen.
- Kürzliche Änderungen an Task-Definitionen und Upstream-Abhängigkeiten auf unerwartete Anpassungen prüfen.
- Workflow-Definitionen vor dem Patchen sichern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list advisory (lists.apache.org) lists.apache.org
- Openwall oss-security post CVE-2026-66084 www.openwall.com
- Apache dev mailing list advisory (msg03866) www.mail-archive.com
- PSIRT CVE-2026-66084 psirt.com
- HOL Guard CVE-2026-66084 hol.org
- Vulners RAPID7 CVE-2026-66084 vulners.com
- DolphinScheduler 3.4.3 release notes (newreleases.io) newreleases.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.