Quarkus REST Data Panache: Fehlende Autorisierung bei generierten Endpunkten
Zusammenfassung
Quarkus REST Data Panache generiert CRUD-REST-Endpunkte aus Entitäten oder Repositories. Wenn ein Entwickler einen Vorgang mit @MethodProperties anpasst, ohne die Sicherheitsrollen erneut zu deklarieren, entfernt der Code-Generator die klassenweite Sicherheitsanforderung, sodass der Endpunkt ohne Authentifizierung erreichbar ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dadurch möglicherweise Daten lesen oder verändern, die über den betroffenen Endpunkt verfügbar sind.
Betroffen
- Red Hat build of Quarkus 3.27.x: Versionen vor 3.27.6.redhat-00004 (gemäss CVE-Eintrag; Standardstatus betroffen)
- Red Hat build of Quarkus 3.33.x: Versionen vor 3.33.4.redhat-00004 (gemäss CVE-Eintrag; Standardstatus betroffen)
- Nur Anwendungen, die io.quarkus:quarkus-hibernate-orm-rest-data-panache mit @MethodProperties auf gesicherten Ressourcen verwenden
- Upstream-Quarkus-Versionen: Unbekannt.
Behoben in
- Red Hat build of Quarkus 3.27.6.redhat-00004 und neuer (gemäss CVE-Eintrag)
- Red Hat build of Quarkus 3.33.4.redhat-00004 und neuer (gemäss CVE-Eintrag)
- Upstream-Version mit Fix: Unbekannt.
Umgehung
- Netzwerkzugriff auf Quarkus-Anwendungen mit REST Data Panache auf vertrauenswürdige Netze oder localhost beschränken, über Firewall-Regeln oder Netzwerkzugriffskontrollen (Empfehlung von Red Hat).
- Bis zum Patch jede @MethodProperties-Anpassung prüfen und die erforderlichen Rollen erneut deklarieren.
- Nach Änderungen an der Netzwerkkonfiguration ist eventuell ein Neustart der Anwendung nötig.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA KEV gelistet.
- Kein öffentlicher Proof of Concept gemeldet.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- EPSS etwa 0.0029 (gemäss Vulners).
Unsere Empfehlung
- Quarkus-Anwendungen mit REST Data Panache und @MethodProperties identifizieren, insbesondere öffentlich erreichbare APIs.
- Die in RHSA-2026:83082 oder RHSA-2026:83520 aufgeführten gefixten Red Hat build of Quarkus-Versionen einspielen und die Fixversion für die eigene Linie prüfen.
- Bis zum Patch den Netzwerkzugriff auf vertrauenswürdige Netze beschränken.
- Testen, dass unauthentifizierte Anfragen an betroffene Endpunkte abgelehnt werden.
- Logs dieser Endpunkte auf unerwartete Zugriffe überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE page CVE-2026-87744 access.redhat.com
- RHSA-2026:83082 Red Hat build of Quarkus 3.27.6 access.redhat.com
- RHSA-2026:83520 Red Hat build of Quarkus 3.33.4 access.redhat.com
- Red Hat Bugzilla 2530524 bugzilla.redhat.com
- Quarkus 3.33.4 release blog quarkus.io
- Strix CVE-2026-87744 www.strix.ai
- VulDB 417191 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.