Apache IoTDB - CVE-2026-24013
Date de publication :
Il s'agit d'une vulnérabilité dans les gestionnaires de requêtes RPC Thrift d'Apache IoTDB.
Apache IoTDB est un système de gestion de bases de données orienté séries temporelles, destiné à la collecte, au stockage et à l'interrogation de données industrielles et de capteurs à grande échelle.
Certains de ces gestionnaires ne procèdent pas à une validation stricte du paramètre sessionId transmis par le client. Un attaquant peut construire une requête contenant un identifiant de session forgé sans jamais effectuer l'appel d'ouverture de session (openSession) prévu pour l'authentification. Cette requête forgée est néanmoins traitée par le serveur, qui renvoie des résultats de requête valides comme si la session avait été authentifiée normalement.
Elle permet à un attaquant de contourner l'authentification et de lire des données de séries temporelles sans autorisation.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à la confidentialité des données
Exploitation
CWE-290 : Authentication Bypass by Spoofing
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Apache IoTDB versions 1.3.3 jusqu'à 2.0.7