Eclipse Kura: Beliebiges Schreiben von Dateien durch ZIP-Entpackung

Zusammenfassung

Eclipse Kura in Versionen bis 5.6.2 entpackt ein vom Aufrufer geliefertes ZIP-Archiv in ein vom Aufrufer gewähltes Verzeichnis innerhalb der Kura-JVM, die als kurad mit CAP_DAC_OVERRIDE läuft, bevor der Befehl weitergeleitet wird. Ein authentifizierter Benutzer mit der Berechtigung rest.command kann das Arbeitsverzeichnis auf / setzen und beliebige Dateien auf dem Gerät als kurad schreiben oder überschreiben, wodurch der unprivilegierte Executor umgangen wird. Der Command-Service ist seit Kura 4.0.0 standardmässig deaktiviert, und die Schwachstelle betrifft nur Systeme, auf denen er aktiviert ist.

Betroffen

• Eclipse Kura 0.7.0 bis und mit 5.6.2
• Installationen mit der Standardkonfiguration (Command-Service deaktiviert) sind nicht betroffen

Behoben in

• Unbekannt. Für diese CVE ist keine behobene Version bestätigt.
• Eclipse Kura 5.6.2 ist bestätigt nicht behoben.
• Eclipse Kura 5.6.3 sollte die Korrektur enthalten, dies ist jedoch nicht verifiziert.

Umgehung

• Den Command-Service deaktiviert lassen (privileged.command.service.enable=false, der Standardwert) und auf jedem Gerät prüfen, dass keine Konfiguration dies überschreibt.
• Falls der Command-Service aktiviert bleiben muss, die Berechtigung rest.command nur vertrauenswürdigen Identitäten erteilen.

Ausnutzung

• Zum Zeitpunkt der Recherche wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn, keinen öffentlichen Proof of Concept und keinen Eintrag im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Prüfen, ob der Command-Service auf Kura-Geräten aktiviert ist und ob die REST-API erreichbar ist.
• Falls er aktiviert ist, diesen deaktivieren oder rest.command auf vertrauenswürdige Konten beschränken.
• Ein Update auf eine Kura-Version mit der Korrektur planen, sobald die behobene Version durch den Hersteller bestätigt ist.
• Konten mit der Berechtigung rest.command überprüfen und Geräte auf unerwartete Dateiänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Eclipse CNA work item for CVE-2026-97401 gitlab.eclipse.org
• Eclipse Kura vulnerability report #922 gitlab.eclipse.org
• VulDB entry 433902 vuldb.com
• Strix.ai CVE record CVE-2026-97401 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 19:56.