Stirling-PDF: Remote Code Execution über H2-Datenbankimport

Zusammenfassung

Ein authentifizierter Administrator kann in Stirling-PDF über die Datenbankimport-Funktion eine manipulierte SQL-Datei hochladen, wenn die Standard-Datenbank H2 und der Sicherheitsmodus verwendet werden. Die Validierung prüft nur auf erlaubte Schlüsselwörter, sodass gefährliche H2-Funktionen wie FILE_READ und CSVWRITE trotzdem ausgeführt werden können, was einen beliebigen Dateizugriff erlaubt. Die veröffentlichte Angriffskette führt zur Befehlsausführung unter dem Dienstkonto der Anwendung. Für die Ausnutzung sind Administratorzugangsdaten erforderlich.

Betroffen

• Stirling-PDF-Versionen vor 2.13.2 (die genaue untere Grenze ist unbekannt; die Quellen widersprechen sich)
• Relevante Konfiguration: Standard-Datenbank H2 mit aktiviertem Sicherheitsmodus

Behoben in

• Behoben in Stirling-PDF 2.13.2

Umgehung

• Unbekannt. Der Hersteller hat keine Workaround-Massnahme dokumentiert; das Aktualisieren auf 2.13.2 wird als Korrektur empfohlen.
• Zugriff auf die Datenbankimport-Funktion und das Admin-Panel bis zur Aktualisierung einschränken.

Ausnutzung

• Die Ausnutzung erfordert eine Authentifizierung als Administrator (CVSS PR:H).
• CISA SSVC: Ausnutzungsstatus poc (öffentlicher Proof of Concept), nicht automatisierbar.
• Keine bestätigte Ausnutzung in freier Wildbahn; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.

Unsere Empfehlung

• Stirling-PDF auf Version 2.13.2 oder neuer aktualisieren.
• Prüfen, ob die Instanz die Standard-Datenbank H2 verwendet und aus dem Internet erreichbar ist; öffentlichen Zugriff einschränken oder entfernen.
• Standard-Administratorzugangsdaten ändern und starke, eindeutige Passwörter verwenden.
• Logs auf unerwartete Datenbankimport-Anfragen sowie neue Startup- oder Skriptdateien auf dem Host prüfen.
• Nach der Aktualisierung Release-Notes und Advisory des Herstellers auf Nachbesserungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mrr8-934j-4g8m github.com
• Stirling-PDF Release v2.13.2 github.com
• Fix commit d06d3ca github.com
• Pull request #6796 github.com
• Stirling-PDF security page github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:35.