Apache Impala: Authentifizierungsumgehung im Executor-Webserver über JWT/OAuth
Zusammenfassung
Apache-Impala-Executors prüfen die Signatur von JWT/OAuth-Bearer-Token nicht. Ist der Webserver des Executors so konfiguriert, dass er solche Token akzeptiert, kann ein Angreifer über das Netzwerk ohne Zugangsdaten ein beliebiges gültig aussehendes JWT senden und auf Ressourcen zugreifen, die dieser Webserver bereitstellt. Apache stuft den Schweregrad als niedrig ein, der CVSS-Wert von 9.1 ist hingegen kritisch; dieser Widerspruch sollte bei der Priorisierung berücksichtigt werden.
Betroffen
- Apache Impala 4.1.0 bis 4.5.2
- Nur relevant, wenn der Webserver des Executors so konfiguriert ist, dass er JWT/OAuth-Token akzeptiert; die Standardkonfiguration ist nicht betroffen.
Behoben in
- Apache Impala 4.5.3
- Behobene Versionen für andere Wartungszweige: Unbekannt.
Umgehung
- JWT/OAuth-Authentifizierung für Impala-Executors deaktivieren.
- Netzwerkzugriff auf die Webserver-Ports der Executors auf vertrauenswürdige Administrationshosts beschränken.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Laut VulDB ist die CVE nicht im CISA-KEV-Katalog aufgeführt.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle Impala-Installationen erfassen und die Version sowie die Aktivierung von JWT/OAuth für die Executors prüfen.
- Falls JWT/OAuth aktiviert ist, auf Impala 4.5.3 oder neuer aktualisieren oder als Übergangsmassnahme deaktivieren.
- Sicherstellen, dass die Webserver-Ports der Executors nicht aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar sind.
- Zugriffsprotokolle des Webservers auf unerwartete Anfragen mit Bearer-Token überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache mailing list thread (CVE advisory) lists.apache.org
- oss-security post CVE-2026-97720 www.openwall.com
- Apache dev mailing list archive www.mail-archive.com
- CVE record summary (Vulners) vulners.com
- Cloudera documentation: Impala OAuth docs.cloudera.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.