Apache Kylin: Code-Injection über speziellen Parameter in JDBC-URL
Zusammenfassung
Apache Kylin in den Versionen 4.0.0 bis 5.0.4 enthält eine Code-Injection-Schwachstelle (CWE-94), die durch einen speziellen Parameter in einer JDBC-URL ausgelöst wird. Ein Angreifer mit niedrigen Rechten auf einer über das Netzwerk erreichbaren Kylin-Instanz könnte Code einschleusen, und die CISA-SSVC-Bewertung des Herstellers stuft die technische Auswirkung als total ein. Laut Hersteller betrifft dies hauptsächlich Kylin-Dienste, die direkt aus dem öffentlichen Netz erreichbar sind, während interne Installationen meist nicht betroffen sind. Der CVSS-Wert 8.8 wurde vorgegeben und ist von NVD noch nicht bestätigt.
Betroffen
- Apache Kylin 4.0.0 bis 5.0.4
Behoben in
- Apache Kylin 5.0.5
- Kein zurückportierter Fix für die Zweige 4.x oder 5.0.x gefunden.
Umgehung
- Kylin nicht aus dem öffentlichen Internet erreichbar machen; hinter VPN oder Firewall betreiben.
- Kylin-Admin- und Projekt-Admin-Rechte einschränken.
- Kein vom Hersteller bestätigter Workaround gefunden; dies sind nur Übergangsmassnahmen.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof-of-Concept bekannt; PSIRT listet keinen öffentlichen Exploit.
- Vor dem Schliessen CISA KEV und Exploit-Datenbanken erneut prüfen.
Unsere Empfehlung
- Kylin-Installationen inventarisieren; die Versionen 4.0.0 bis 5.0.4 sind betroffen.
- Direkte Internetexposition entfernen oder Kylin hinter VPN oder Firewall betreiben.
- Admin-Konten prüfen und starke Authentisierung durchsetzen.
- Auf 5.0.5 aktualisieren, nachdem das Apache-Advisory auf zusätzliche Schritte geprüft wurde.
- JDBC-Datenquellen-Konfigurationen auf unerwartete Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Kylin vendor advisory thread lists.apache.org
- oss-security post CVE-2026-68571 www.openwall.com
- Strix CVE-2026-68571 www.strix.ai
- ThreatInt CVE-2026-68571 cve.threatint.com
- PSIRT CVE-2026-68571 psirt.com
- SecurityOnline Apache Kylin vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.