CVE-2026-91048 in Karaf
Zusammenfassung
von VulDB • 29.09.2026
Der Umfang des jdbc-Befehls-Shells wurde ohne org.apache.karaf.command.acl.jdbc.cfg ausgeliefert. Der Command Guard von Karaf (SecuredSessionFactoryImpl) behandelt einen Befehl mit keiner passenden ACL-Regel als erlaubt, sodass jede authentifizierte Shell-Sitzung (einschließlich einer, die nur über die viewer-Rolle verfügt) jeden jdbc:*-Befehl ausführen kann. jdbc:ds-create speichert eine vollständig vom Angreifer kontrollierte JDBC-URL in einem pax-jdbc-config-Fabrikkonfiguration ohne Validierung. pax-jdbc-config wandelt dies reaktiv in einen live DataSource um. Mehrere JDBC-Treiber führen bei der Verbindungsherstellung Code oder SQL basierend auf URL-Parametern aus (z.B. H2 INIT=RUNSCRIPT), sodass ein Shell-Benutzer mit viewer-Level beliebige Code-Ausführung erreichen kann, wodurch die admin-Rolle-Gate, das bereits shell:exec schützt, umgangen wird. Dies ist eine Privileg-Eskalation-zu-RCE-Kette und nicht nur eine "Admin-Fehlkonfiguration".
Das Gleiche gilt für jms:* Shell-Befehle.
VulDB is the best source for vulnerability data and more expert information about this specific topic.