Hitachi HiRDB: Fehlende Authentifizierung für kritische Funktion
Zusammenfassung
Hitachi-HiRDB-Datenbankserver enthalten eine Schwachstelle durch fehlende Authentifizierung für eine kritische Funktion (CWE-306). Ein entfernter Angreifer ohne Zugangsdaten und ohne Benutzerinteraktion kann unter Umständen die betroffene Funktion nutzen, mit möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Hitachi stuft das Problem mit CVSS 9.8 (Kritisch) ein. Welche Funktion betroffen ist, beschreibt der Hersteller im geprüften Text nicht.
Betroffen
- HiRDB Server Version 10: 10-00 bis vor 10-12-01
- HiRDB Server Version 9: 09-00 bis 09-66-22
- HiRDB Server with Additional Function Version 9: 09-00 bis 09-66/V
- HiRDB Server Version 9(32): 09-02 bis 09-66-22
- HiRDB Server with Additional Function Version 9(32): 09-00 bis 09-66-/V
Behoben in
- HiRDB Server Version 10: 10-12-01 (Hitachi nennt zusätzlich 10-11-02 und 10-08-05 als korrigierte Versionen)
- HiRDB Server Version 9 und 9(32): Unbekannt.
Umgehung
- Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden. OffSeq führt die Schwachstelle als nicht bekannt ausgenutzt.
- Öffentlicher Proof of Concept: keiner gefunden. VulDB meldet keinen verfügbaren Exploit.
- CISA KEV: nicht geprüft.
Unsere Empfehlung
- Alle HiRDB-Installationen und deren genaue Versionen erfassen, einschliesslich Versionen, die in Herstell- oder Industrieanwendungen eingebettet sind.
- HiRDB Version 10 unterhalb 10-12-01 vorrangig patchen.
- Für 9.x-Versionen den Stand der Korrekturen beim Hersteller erfragen und diese Systeme bis zur Verfügbarkeit einer Korrektur isolieren.
- Jegliche Internetexposition von HiRDB entfernen und den Datenbankzugriff über Firewall-Allowlists auf bekannte Applikationsserver beschränken.
- Datenbank-Zugriffslogs auf unerwartete Verbindungen überwachen.
- Diese Schwachstelle zusammen mit CVE-2026-82117 als Paket behandeln und beide gemeinsam patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Hitachi advisory hitachi-sec-2026-148 www.hitachi.com
- OffSeq threat entry radar.offseq.com
- VulDB entry 427098 vuldb.com
- Strix CVE page www.strix.ai
- Hitachi advisory hitachi-sec-2026-149 www.hitachi.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.