Firebird: Path Traversal + Arbitrary File Write Leads to Remote Code Execution

CVE-2026-40342 in Firebird betrifft Versionen vor 5.0.4, 4.0.7 und 3.0.14. Es ermöglicht einem authentifizierten Benutzer mit CREATE FUNCTION-Rechten, eine Pfad-Traversal-Schwachstelle im externen Engine-Plugin-Loader auszunutzen. Ein Angreifer kann den Engine-Namen manipulieren, um eine beliebige Shared Library von überall im Dateisystem zu laden. Der Initialisierungscode der Bibliothek wird während des Ladens sofort ausgeführt, was zu einer Remote-Code-Ausführung und einer Kompromittierung des Datenbankservers führen kann. Der CVSS-Wert für diese Schwachstelle beträgt 10.0, was ein kritisches Risiko anzeigt.

Organizations utilizing FirebirdSQL databases in production environments, particularly those with custom engine plugins or relaxed privilege controls, are at significant risk. Shared hosting environments where multiple users have CREATE FUNCTION privileges are especially vulnerable, as a compromised account could potentially impact the entire server. Legacy FirebirdSQL deployments running older, unsupported versions are also highly susceptible.

• linux / server:

journalctl -u firebird -g "engine loading"
ps aux | grep firebird
find / -name 'firebird.conf' -print

• database (mysql, redis, mongodb, postgresql): While this is FirebirdSQL, monitoring for unusual process executions or file access attempts related to the FirebirdSQL user is recommended.

ps aux | grep firebird

1. 2026-04-17Disclosure

   disclosure

1. Reserviert2026-04-10
2. Veröffentlicht2026-04-17
3. Geändert2026-04-22
4. EPSS aktualisiert2026-04-25

Die empfohlene Lösung ist die Aktualisierung von Firebird auf Version 5.0.4, 4.0.7 oder 3.0.14. Diese Versionen enthalten eine Korrektur, die den vom Benutzer bereitgestellten Engine-Namen validiert und bereinigt und so Pfad-Traversal verhindert. Als vorübergehende Maßnahme sollten Sie die CREATE FUNCTION-Rechte auf Benutzer beschränken, die diese wirklich benötigen, und alle Funktionen, die externe Engines verwenden, sorgfältig prüfen. Die Implementierung eines rollenbasierten Zugriffskontrollsystems ist eine gute Sicherheitspraxis. Die Überwachung der Systemprotokolle auf verdächtige Aktivitäten im Zusammenhang mit dem Laden externer Engines kann ebenfalls dazu beitragen, potenzielle Angriffe zu erkennen und darauf zu reagieren.