🔴 CVE-2026-80349: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-80349 ist eine kritische Authentifizierungslücke in TarsWeb, die es Angreifern ermöglicht, sich als beliebiger Benutzer, einschließlich Administrator, auszugeben. Die Schwachstelle entsteht durch unsichere Behandlung von Proxy-Headern und unzureichende Validierung von Authentifizierungsmechanismen. Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Sicherheitslücke mit Netzwerkzugriff.

Betroffene Systeme

TarsWeb-Versionen vor 3.0.16 sind anfällig. Die genaue Liste betroffener Systeme und Versionen sollte bei dem Hersteller abgefragt werden. Der Patch wurde in Version 3.0.16 bereitgestellt.

Technische Details

Die Vulnerabilität basiert auf mehreren Sicherheitsfehlern in der Implementierung:

• Unkonfigurierte Proxy-Verarbeitung: app.js aktiviert Koas Proxy-Option ohne Validierung vertrauenswürdiger Upstream-Proxies oder Limitierung der Forward-Hops
• Header-basierte Authentifizierung: Die Anfragequelle wird direkt aus dem clientseitig kontrollierbaren X-Forwarded-For-Header übernommen
• Unzureichende Access-Control: In midware/ssoMidware.js werden die Ignored-Path-Liste und die IP-Allowlist aus loginConf.js nicht korrekt getrennt behandelt
• Fehlende Authentifizierungsvalidierung: Anfragen mit gefälschtem X-Forwarded-For-Header (Loopback-Adresse) und uid-Parameter umgehen Ticket-, Cookie- und Passwortvalidierung vollständig

Ein Angreifer kann damit auf alle konsolengestützten Routen zugreifen, einschließlich Benutzer- und Rollenverwaltung, Servicekonfiguration sowie Paketupload und -deployment.

Empfohlene Massnahmen

• Sofortige Aktualisierung: Update auf TarsWeb 3.0.16 oder neuer durchführen
• Netzwerksegmentierung: Administrativen Zugriff auf TarsWeb-Systeme auf vertrauenswürdige Netzwerke begrenzen
• Proxy-Konfiguration: Explizite Validierung und Limitierung von Proxy-Headern implementieren
• Access-Logging: Authentifizierungs- und Adminvorgänge überwachen und auditieren

Bewertung

Die Kritikalität dieser Schwachstelle ist maximal. Sie ermöglicht unauthentifizierten Remote-Code-Execution und vollständige Systemkompromittierung. Ein Patch existiert; die unmittelbare Anwendung ist obligatorisch.

„`