djehuty: Authentifizierte SPARQL-Injection in der Sitzungsbearbeitung erlaubt Schreiben von RDF-Triples

Zusammenfassung

djehuty, ein System für Forschungsdatenrepositorien, ist von einer SPARQL-Injection in der Verarbeitung des Sitzungsnamens betroffen. Ein authentifizierter Depositor kann einen manipulierten Sitzungsnamen übergeben, der ein SPARQL-String-Literal aufbricht und beliebige Triples im gemeinsam genutzten RDF-Store schreibt oder löscht. Dadurch ist die Integrität der Metadaten des gesamten Repositoriums betroffen, nicht nur die der Records des Angreifers. Ein angemeldetes Konto ist erforderlich, und die Selbstregistrierung über ORCID oder SAML macht dies in typischen Installationen zu einer niedrigen Hürde.

Betroffen

• djehuty-Versionen vor 26.3.2 (CNA-Angabe: betroffen < 26.3.2)
• Verwundbarer Endpunkt: PUT /my/sessions/<uuid>/edit

Behoben in

• Behoben in djehuty 26.3.2

Umgehung

• Unbekannt.
• Zwischenmassnahme (nicht vom Hersteller): Selbstregistrierung oder Kontoerstellung einschränken, bis das Update eingespielt ist, und den RDF-Store auf unerwartete Änderungen an Sitzungs- oder Datensatzmetadaten prüfen.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt; keine bekannte aktive Ausnutzung.
• Kein öffentlicher Proof of Concept in den Quellen bestätigt; der Hersteller-Advisory enthält jedoch eine Proof-of-Concept-Anfrage.
• CISA SSVC: Ausnutzungsstatus poc, nicht automatisierbar.

Unsere Empfehlung

• Wenn keine djehuty-Instanz betrieben wird, ist abgesehen von der Überwachung keine Massnahme nötig.
• Wenn eine Instanz betrieben wird, auf Version 26.3.2 oder neuer aktualisieren.
• Ebenfalls CVE-2026-73976 berücksichtigen (nicht authentifizierte SPARQL-Injection in der Suche-API), die im selben Release behoben ist.
• Konten mit Selbstregistrierung überprüfen und den RDF-Store auf unerwartete Änderungen kontrollieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9864-23x8-762h github.com
• djehuty release v26.3.2 github.com
• VulnCheck/Vulnrichment CVE-2026-73975 vulners.com
• HOL Guard CVE-2026-73975 hol.org
• Strix CVE-2026-73975 www.strix.ai
• OpenCVE CVE-2026-73975 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:57.