Apache Kylin: Unautorisierter Zugriff auf Systembereinigungsaktionen
Zusammenfassung
Apache Kylin in den Versionen 4.0.0 bis 5.0.4 erlaubt einem nicht authentifizierten Benutzer den Zugriff auf Systembereinigungsaktionen, was den Metastore betrifft. Der CVSS-Basiswert liegt bei 9.8 (kritisch). Laut Hersteller betrifft die Auswirkung vor allem Kylin-Dienste, die direkt aus dem öffentlichen Internet erreichbar sind, was unüblich ist; interne Installationen sind meist nicht betroffen.
Betroffen
- Apache Kylin 4.0.0 bis 5.0.4
- Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)
- Die untere Grenze des Bereichs ist nicht von allen Quellen bestätigt; das Apache-Advisory prüfen.
Behoben in
- Apache Kylin 5.0.5 (vom Hersteller empfohlenes Update, verfolgt als KYLIN-6093)
Umgehung
- Kein offizieller Workaround des Herstellers gefunden.
- Nicht verifizierte Praxis: Kylin vom öffentlichen Internet fernhalten und den Zugriff auf Web- und API-Ports auf Administrations- oder interne Netze beschränken, bis das Update erfolgt ist.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das Asset-Inventar auf Kylin-Instanzen prüfen, einschliesslich Docker- und Testumgebungen.
- Sicherstellen, dass keine Kylin-Instanz aus dem Internet erreichbar ist (externer Scan oder Firewall-Prüfung).
- Betroffene Instanzen nach Prüfung des Apache-Advisorys auf den genauen Bereich auf Apache Kylin 5.0.5 aktualisieren.
- Weitere Kylin-CVEs aus demselben Zeitraum prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Kylin mailing list advisory lists.apache.org
- oss-security post CVE-2026-68573 www.openwall.com
- VulDB CVE-2026-68573 vuldb.com
- Strix CVE-2026-68573 www.strix.ai
- TheHackerWire CVE-2026-68573 www.thehackerwire.com
- SecurityFocus CVE-2026-68573 www.securityfocus.com
- Apache Kylin project kylin.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.