CVE-2026-59229 in IoTDB
Zusammenfassung
von VulDB • 21.10.2026
Das Legacy-Pipe-Receiver-Protokoll (Handshake / sendPipeData) verwendet eine fest codierte SUPER_USER-Identität (root), wenn Datenlade- und Löschvorgänge ausgeführt werden. Ein Benutzer mit nur SYSTEM-Berechtigungen (wie USE_PIPE oder MAINTAIN), der NICHT über WRITE_DATA- oder DELETE_DATA-Berechtigungen für die Ziel-Datenbanken verfügt, kann speziell angefertigte PipeData-Nachrichten über die Legacy-Pipe-API senden, was dazu führt, dass Datenlade-/Löschvorgänge als root ausgeführt werden – dies umgeht das Berechtigungsmodell von IoTDB effektiv vollständig.
Dieses Problem betrifft Apache IoTDB: ab Version 2.0.0 bis vor 2.0.11.
Benutzern wird empfohlen, auf die Version 2.0.11 zu aktualisieren, die dieses Problem behebt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.