UTMStack: SQL-Injection über den Suchfilter für Asset-Gruppen
Zusammenfassung
UTMStack, eine Open-Source-Plattform für SIEM und XDR, enthält eine SQL-Injection-Schwachstelle in der Suche nach Asset-Gruppen (CWE-89). Ein authentifizierter Benutzer mit einem Konto mit niedrigen Berechtigungen kann über GET /api/utm-asset-groups/searchGroupsByFilter manipulierte Werte für assetType und groupName senden, die ungefiltert in eine PostgreSQL-Abfrage eingefügt werden. Eine erfolgreiche Ausnutzung kann beliebige SQL-Befehle mit DBA-Berechtigungen ausführen, wodurch die gesamte Datenbank gelesen und verändert sowie möglicherweise auf das Dateisystem zugegriffen werden kann. Eine Interaktion durch einen Benutzer ist nicht erforderlich.
Betroffen
- UTMStack-Versionen vor 11.2.16 (gemäss CVE-Eintrag alle Versionen unterhalb von 11.2.16)
Behoben in
- UTMStack 11.2.16 (Release vom 1. Okt. 2026)
- Fix-Commit gemäss CVE-Eintrag: 4e7a727c3b8d8e2ad020d3b4f982a6d085dbecdd
- Hinweis: Die Release-Notizen nennen diese SQL-Injection nicht explizit, daher ist die Behebung in der Herstellerinformation zu überprüfen.
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Massnahme zur Abschwächung.
- Übergangsmassnahmen (nicht vom Hersteller): Anzahl der UTMStack-Konten begrenzen, den Zugriff auf die Verwaltungsoberfläche auf interne Netze oder VPN beschränken und Zugriffsprotokolle auf Anfragen an /api/utm-asset-groups/searchGroupsByFilter prüfen.
Ausnutzung
- Keine bekannte Ausnutzung.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- UTMStack auf Version 11.2.16 oder neuer aktualisieren und die Behebung in der Herstellerinformation bestätigen.
- Bis zur Aktualisierung den Zugriff auf die UTMStack-Weboberfläche auf vertrauenswürdige Netze oder VPN beschränken.
- Benutzerkonten überprüfen und nicht benötigte Konten entfernen.
- Protokolle auf ungewöhnliche Anfragen an den Endpunkt searchGroupsByFilter prüfen.
- Datenbank sichern und auf unerwartete Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory: UTMStack SQL injection via searchGroupsByFilter www.vulncheck.com
- UTMStack release v11.2.16 github.com
- UTMStack fix commit 4e7a727 github.com
- OSV: CVE-2026-82039 osv.dev
- VulDB: CVE-2026-82039 vuldb.com
- Red Packet Security CVE alert: CVE-2026-82039 www.redpacketsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.