Eclipse Kura: Denial of Service durch Session-Erschöpfung in der Web Console

Zusammenfassung

In Eclipse Kura Versionen 5.0.0 bis 5.6.2 erstellt die Web Console für jede Anfrage an ihre Authentifizierungs-Endpunkte (/admin/auth, /admin/login/password, /admin/login/cert) eine neue HTTP-Session, bevor die HTTP-Methode oder die Zugangsdaten geprüft werden, und die Anzahl der Sessions ist nicht begrenzt. Ein nicht authentifizierter Angreifer aus dem Netzwerk, der Anfragen an diese Endpunkte sendet, ohne das zurückgegebene Session-Cookie zu verwenden, kann den JVM-Heap erschöpfen und den Kura-Prozess zum Absturz bringen. Es sind keine Zugangsdaten erforderlich.

Betroffen

• Eclipse Kura 5.0.0 bis 5.6.2
• Betroffene Komponente: Authentifizierungs-Endpunkte der Web Console

Behoben in

Unbekannt. Eclipse Kura 5.6.3 (November 2026) ist die wahrscheinlich behebende Version, der Hersteller hat dies für diese CVE jedoch noch nicht bestätigt.

Umgehung

• Unbekannt. Keine vom Hersteller dokumentierte Massnahme gefunden.
• Zugriff auf die Web Console auf Management-Netzwerke oder ein VPN beschränken.
• Einen Reverse Proxy oder eine Firewall mit Ratenbegrenzung und Verbindungslimiten vor die Login-Endpunkte setzen.

Ausnutzung

Unbekannt. Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof-of-Concept und keine Ausnutzung in freier Wildbahn gefunden. Der Auslöser ist einfach, daher ist eine Ausnutzung wahrscheinlich leicht.

Unsere Empfehlung

• Prüfen, ob Kura Web Consoles aus dem Internet erreichbar sind, und diese Exposition entfernen.
• Ein Upgrade auf Eclipse Kura 5.6.3 oder neuer planen, sobald der Hersteller-Advisory die Behebung bestätigt.
• Die JVM-Heap-Auslastung und den Dienststatus überwachen und einen automatischen Neustart des Kura-Dienstes konfigurieren.
• Advisory und CVE-Eintrag auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-4pwp-99h8-c44j github.com
• Eclipse CVE assignment work item #325 gitlab.eclipse.org
• Eclipse Kura 5.6.3 release github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 18:22.