Sicherheitslücken in CData-Produkten ermöglichen unbefugten Zugriff
Table of Contents
Ein Forscher von Tenable hat kritische Sicherheitslücken in verschiedenen Java-Versionen der CData-Produkte aufgedeckt, die bei Verwendung des eingebetteten Jetty-Servers auftritt. Diese Path Traversal-Schwachstelle, identifiziert unter den CVE-Nummern CVE-2024-31848 bis CVE-2024-31851, könnte es einem nicht authentifizierten Angreifer ermöglichen, administrative Kontrolle über die Anwendungen zu erlangen oder auf sensible Informationen zuzugreifen. CData ist ein Anbieter für Lösungen für die Integration von Daten in Echtzeit.
Die Lücke entsteht durch eine Kombination, wie der eingebettete Jetty-Server und die CData-Servlets Anfragen verarbeiten. Insbesondere die Verarbeitung von Backslash-Zeichen in URIs, die von Jetty akzeptiert werden, und die fehlenden Sitzungsüberprüfungen bei mehreren Endpunkten der CData-Anwendungen, schaffen ein Einfallstor für Angreifer.
Betroffen sind unter anderem die Produkte CData API Server, CData Connect, CData Arc und CData Sync, wobei die Schwachstellen unterschiedlich gravierende Auswirkungen haben, mit CVSS-Basisbewertungen von bis zu 9.8, was ein kritisches Sicherheitsrisiko darstellt.
Als Beweis für die Schwachstelle dient ein einfacher Proof of Concept, bei dem durch einen speziell gestalteten HTTP-Request sensible Einstellungen der Anwendung abgefragt werden können, die normalerweise geschützt sein sollten.
CData hat auf diese Entdeckungen reagiert und Updates für die betroffenen Produkte veröffentlicht, um die Schwachstellen zu beheben. Nutzer der betroffenen Software-Versionen werden dringend dazu aufgefordert, ihre Systeme umgehend zu aktualisieren, um sich vor potenziellen Angriffen zu schützen.
Update vom 7.5.24
Mittlerweile wurde ein weiterer Proof of Concept auf github.com veröffentlicht. Betreiber sind dringend aufgefordert ihre Serverumgebungen zu aktualisieren.