mJobTime: Nicht authentifizierte SQL-Ausführung führt zu Remote Code Execution

Zusammenfassung

mJobTime bis Build 15.7.3.32 stellt auf der Admin-Seite Login.aspx SQL-Ausführungs-Handler ohne serverseitige Authentifizierung bereit. Ein nicht authentifizierter Angreifer kann mit einer einzelnen HTTP-Anfrage beliebige SQL-Befehle mit DBA-/Sysadmin-Rechten auf der zugrunde liegenden Sybase-SQL-Anywhere-Datenbank ausführen und darüber Betriebssystembefehle als LocalSystem auslösen. Das Risiko hängt davon ab, ob die Webanwendung aus nicht vertrauenswürdigen Netzen erreichbar ist.

Betroffen

• mJob mJobTime, Versionen 0 bis einschliesslich 15.7.3.32
• Gemäss den Forschern ist die Standardkonfiguration betroffen.

Behoben in

Unbekannt. Der Hersteller gibt an, das Problem sei in Build 15.7.3 behoben. Forscher berichten jedoch, dass dieser Build weiterhin ausnutzbar ist; eine verifizierte korrigierte Version liegt nicht vor.

Umgehung

• Den Netzwerkzugriff auf den mJobTime-Webbereich auf berechtigte Benutzer beschränken (VPN, IP-Allowlist oder authentifizierender Reverse Proxy).
• Die Login.aspx-Handler von der direkten Internetexposition entfernen oder, falls möglich, auf IIS-Ebene deaktivieren.
• Die Datenbankverbindung mit einem Konto mit minimalen Rechten statt mit einem Sysadmin-Login betreiben.
• WAF-Regeln nur als vorübergehende Kompensationsmassnahme einsetzen.

Ausnutzung

• Öffentlicher Proof-of-Concept: keiner gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
• Sprocket Security hat eine detaillierte technische Beschreibung veröffentlicht.
• Zum Zeitpunkt der Recherche keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Aufnahme im CISA KEV nicht bestätigt.
• Eine frühere, separate CVE im selben Produkt (CVE-2025-51683) wird als in freier Wildbahn ausgenutzt gemeldet.
• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob mJobTime im Einsatz ist, welcher Build installiert ist und ob Login.aspx aus dem Internet erreichbar ist.
• Den Zugriff auf den Webbereich sofort auf berechtigte Benutzer beschränken (VPN, IP-Allowlist oder authentifizierender Reverse Proxy).
• Den Build 15.7.3 des Herstellers nicht als Korrektur betrachten, bis der Hersteller dies schriftlich bestätigt.
• IIS- und Webprotokolle auf POST-Anfragen an Login.aspx prüfen; war die Anwendung im Internet erreichbar, auf neue Konten, Dienste, geplante Aufgaben und unerwartete ausgehende Verbindungen prüfen.
• NVD, CISA KEV und die Herstellerseite auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Sprocket Security: CVE-2026-9209 write-up www.sprocketsecurity.com
• VulnCheck advisory: mJobTime unauthenticated SQL execution RCE www.vulncheck.com
• mJob: mJobTime product website mjobtime.com
• VulDB entry CVE-2026-9209 vuldb.com
• Rapid7 via Vulners: CVE-2026-9209 vulners.com
• The Hacker Wire: CVE-2026-9209 analysis www.thehackerwire.com
• Positive Technologies: PT-2025-48032 (CVE-2025-51683) dbugs.ptsecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:58.