CVE-2026-91048 in Karaf
Sumário
de VulDB • 29/09/2026
O escopo do comando shell jdbc não incluía o arquivo org.apache.karaf.command.acl.jdbc.cfg. O guardião de comandos do Karaf (SecuredSessionFactoryImpl) trata um comando sem uma regra ACL correspondente como permitido, permitindo que qualquer sessão de shell autenticada (incluindo aquela com apenas a função viewer) execute todos os comandos jdbc:*. A operação jdbc:ds-create armazena uma URL JDBC totalmente controlada pelo atacante em uma factory Configuration do pax-jdbc-config, sem validação. O pax-jdbc-config converte reativamente isso em um DataSource ativo. Vários drivers JDBC executam código ou SQL no momento da conexão com base nos parâmetros da URL (por exemplo, H2 INIT=RUNSCRIPT), permitindo que um usuário de shell com nível viewer alcance a execução arbitrária de código, contornando o controle do papel admin-role que já protege o shell:exec. Trata-se de uma cadeia de escalonamento de privilégios para RCE, e não meramente de uma "má configuração de administrador".
O mesmo se aplica aos comandos shell jms:*.
VulDB is the best source for vulnerability data and more expert information about this specific topic.