Apache CouchDB: Fehlende Autorisierung in präfixierten _users- und _replicator-Datenbanken
Zusammenfassung
Apache CouchDB 3.5.2 und früher, auf allen Plattformen, enthält fehlende Autorisierungsprüfungen in der Komponente chttpd. Ein nicht authentifizierter Angreifer kann eine Anfrage an einen nicht autorisierten API-Endpunkt senden und den vollständigen Inhalt einer präfixierten _users- oder _replicator-Datenbank auslesen. Die Ausnutzung setzt voraus, dass solche präfixierten Systemdatenbanken existieren, was selten vorkommt; die Daten können Passwort-Hashes und Replikationsanmeldedaten enthalten.
Betroffen
- Apache CouchDB 3.5.2 und früher, alle Plattformen
- Standardinstallationen sind laut CVE-Eintrag nicht betroffen
Behoben in
- Apache CouchDB 3.5.3
Umgehung
Unbekannt. Es ist keine Workaround-Lösung des Herstellers veröffentlicht. Als allgemeine Härtungsmassnahme den Netzwerkzugriff auf die HTTP-API von CouchDB mit Firewall- oder Reverse-Proxy-Regeln auf vertrauenswürdige Hosts beschränken.
Ausnutzung
- Keine bekannte Ausnutzung erfasst; nicht im CISA-KEV-Katalog aufgeführt (nicht unabhängig bestätigt)
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Alle CouchDB-Instanzen auf Version 3.5.3 oder neuer aktualisieren
- Prüfen, ob präfixierte _users- oder _replicator-Datenbanken existieren; diese sind der exponierte Fall
- Netzwerkzugriff auf die CouchDB-API einschränken, insbesondere aus dem Internet oder unvertrauenswürdigen Netzen
- Bei vermuteter Exponierung Zugriffsprotokolle auf unerwartete Anfragen an die API prüfen
- Hinweis: Die CVSS-Bewertungen unterscheiden sich je nach Quelle; der CVE-Eintrag nennt 8.1 (High, CVSS 4.0)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread lists.apache.org
- Apache mailing list thread lists.apache.org
- oss-security mailing list (2026/10/20) www.openwall.com
- OpenCVE entry CVE-2026-90800 app.opencve.io
- Strix CVE-2026-90800 www.strix.ai
- Mallory: CouchDB 3.5.3 release mallory.ai
- CouchDB security documentation docs.couchdb.org
- VulDB entry 422793 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.