Northstar: Unauthentifizierte Remote Code Execution über offene H2-Konsole

Zusammenfassung

Northstar bis einschliesslich Version 9.1.1 aktiviert die H2-Datenbankkonsole, aber der Authentifizierungs-Interceptor schützt nur /northstar/**, sodass /h2-console ohne Anmeldung erreichbar ist. Die eingebettete H2-Datenbank verwendet das Standardkonto sa mit leerem Passwort. Ein unauthentifizierter Angreifer im Netzwerk kann über einen SQL-Alias Betriebssystembefehle auf dem Server ausführen, was einer Remote Code Execution ohne Authentifizierung entspricht. Voraussetzung ist, dass der Pfad /h2-console über das Netzwerk erreichbar ist.

Betroffen

• Northstar (dromara/northstar) bis einschliesslich 9.1.1
• Voraussetzung: /h2-console ist erreichbar (in Dev- und Prod-Profilen aktiviert, Server bindet an alle Schnittstellen)

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.

Umgehung

• /h2-console am Reverse Proxy, an der WAF oder an der Firewall blockieren und nicht dem Internet aussetzen
• H2-Konsole in der Anwendungskonfiguration deaktivieren (für Northstar nicht verifiziert)
• Starkes Passwort für das Konto sa setzen oder dessen Standardzugriff entfernen
• Hinweise auf unerwartete Aliase in der H2-Datenbank prüfen und Logs auf Anfragen an /h2-console kontrollieren

Ausnutzung

• CISA SSVC: Exploitation-Status poc, automatisierbar ja, technische Auswirkung total
• Eine öffentliche Drittanbieter-Beschreibung mit Reproduktionsschritten existiert (fangtang7/CVE)
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in KEV gelistet
• EPSS 0.00358

Unsere Empfehlung

• Umgehend prüfen, ob Northstar im Einsatz ist und ob /h2-console aus dem Internet erreichbar ist
• Die oben genannten Workarounds ohne Verzug umsetzen, insbesondere den externen Zugriff blockieren
• Jede exponierte Instanz als potenziell kompromittiert behandeln: Logs, Aliase und laufende Prozesse prüfen
• GitHub- und Gitee-Repositories des Herstellers auf eine Warnung und eine korrigierte Version überwachen und danach aktualisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linked write-up: Northstar H2 Console Unauthenticated RCE (fangtang7/CVE) github.com
• Strix CVE summary CVE-2026-88391 www.strix.ai
• Vulnrichment CVE-2026-88391 vulners.com
• CVEBrief archive 2026/10/08 cvebrief.com
• Northstar project repository github.com
• Acunetix: H2 console publicly accessible www.acunetix.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:18.