CVE-2026-40008
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność w Apache IoTDB umożliwia zdalne wykonanie kodu poprzez niebezpieczne odbicie (unsafe reflection). Procesor potoku odczytuje w pełni kwalifikowaną nazwę klasy Java i tworzy jej instancję za pomocą Class.forName().newInstance() bez żadnej walidacji lub listy dozwolonych klas.
Ocena ryzyka
Atakujący może dostarczyć złośliwą nazwę klasy, co prowadzi do wykonania dowolnego kodu na serwerze IoTDB. Może to skutkować całkowitym przejęciem systemu, kradzieżą danych lub przerwaniem działania usługi.
Rekomendacja
Należy niezwłocznie zaktualizować Apache IoTDB do wersji 2.0.10 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache IoTDB. The pipe processor reads a fully qualified Java class name and instantiates it using Class.forName().newInstance() without any validation or allowlisting. This issue affects Apache IoTDB: from 1.0.0 before 2.0.10. Users are recommended to upgrade to version 2.0.10, which fixes the issue.