„`html
Zusammenfassung
CVE-2026-10055 beschreibt eine Server-Side Request Forgery (SSRF) Schwachstelle in Eclipse Theia ab Version 1.26.0. Der RPC-Endpunkt /services/request-service validiert benutzerkontrollierte URLs nicht und ermöglicht es Angreifern, beliebige HTTP-Anfragen vom Server aus zu initiieren. Dies führt zu Informationspreisgabe von internen Ressourcen, lokalen Diensten und Cloud-Metadaten-Services.
Betroffene Systeme
Die Schwachstelle betrifft Eclipse Theia ab Version 1.26.0. Besonders gefährdet sind Multi-Tenant-Umgebungen und öffentlich erreichbare Theia-Deployments, bei denen Benutzer Zugriff auf die Theia-Service-Verbindung haben. Unternehmen, die Theia-Instanzen für mehrere Benutzer betreiben, müssen von einem erhöhten Risiko ausgehen.
Technische Details
Der vulnerable Endpunkt /services/request-service akzeptiert über das standard RPC-Messaging-Interface (/services) beliebige URLs von verbundenen Clients. Der Server führt HTTP-Anfragen zu den übermittelten Zielen durch und retourniert die vollständige Response an den Angreifer. Es existiert weder eine URL-Validierung noch eine Allowlist-Implementierung.
Dies ermöglicht Angriffen auf interne Systeme wie:
- Localhost-Dienste (127.0.0.1, ::1)
- Backend-Services im internen Netzwerk
- Cloud-Instance-Metadaten-Services (z.B. AWS EC2 Metadata)
- Administrative Endpunkte, die nur von internen Netzen erreichbar sind
Angriffsvektor ist das Netzwerk (CVSS-Vektor: AV:N). Authentifizierung wird nicht benötigt, sofern die Theia-Service-Verbindung erreichbar ist.
Empfohlene Massnahmen
Sofortmassnahmen:
- Theia-Instanzen sofort auf Netzwerk-Level beschränken
- Zugriff auf /services-Endpoints auf vertrauenswĂĽrdige Netzwerke limitieren
- Firewall-Regeln implementieren zur Isolation von Admin-Interfaces
Langfristige Lösungen:
- Auf aktualisierte Theia-Version upgraden (nach Patch-VerfĂĽgbarkeit)
- URL-Validierung und Allowlist-Implementierung implementieren
- Monitoring von ungewöhnlichen HTTP-Requests aktivieren
Bewertung
CVSS-Score: 8.5 (High)
Die Schwachstelle wird als hochgradig kritisch bewertet. Die fehlende URL-Validierung ermöglicht direkten Zugriff auf interne Systeme. Derzeit existiert kein offizieller Patch. Organisationen sollten unverzüglich Mitigation-Massnahmen implementieren.
„`