🟠 CVE-2026-44068: High Schwachstelle

„`html

Zusammenfassung

Eine Schwachstelle in Netatalk ermöglicht authentifizierten Angreifern, durch unzureichend validierte Extended Attributes (EA) Dateien außerhalb des vorgesehenen Metadaten-Namespaces zu schreiben. Die Vulnerability betrifft Versionen 2.1.0 bis 4.4.2 und wird mit einem CVSS-Score von 7.6 als „High“ eingestuft.

Betroffene Systeme

Anfällige Versionen:

• Netatalk 2.1.0 bis 4.4.2
• Verschiedene Linux-Distributionen und BSD-Varianten
• Systeme mit aktiven AFP-Dateifreigaben

Voraussetzungen: Angreifer benötigt gültige Anmeldedaten für das AFP-Protokoll.

Technische Details

Die Schwachstelle liegt in der unzureichenden Sanitization von Extended Attribute (EA) Pfadkomponenten. Extended Attributes sind Metadaten-Paare, die zusätzliche Informationen zu Dateien speichern. Netatalk validiert die Eingabe bei EA-Namen nicht korrekt.

Ein authentifizierter Angreifer kann durch Pfadtraversal-ähnliche Techniken (z.B. Verwendung von „..“-Sequenzen oder absoluten Pfaden in EA-Namen) auf Dateien außerhalb des vorgesehenen Metadaten-Namespaces zugreifen. Dies ermöglicht:

• Schreib-Zugriff auf beliebige Dateien mit Netatalk-Privilegien
• Potenzielle Code-Execution bei Überschreiben kritischer Systemdateien
• Privilege Escalation

Empfohlene Massnahmen

• Sofort: AFP-Zugriff auf vertrauenswürdige Benutzer und Netzwerke beschränken
• Priorität 1: Netatalk-Dienst temporär deaktivieren, falls nicht kritisch erforderlich
• Monitoring: Logs auf verdächtige EA-Operationen überwachen
• Planung: Auf gepatchte Version warten und Update durchführen
• Netzwerk: AFP-Port (548/TCP) durch Firewall-Regeln schützen

Bewertung

CVSS 7.6 (High) – Die Schwachstelle erfordert zwar Authentifizierung, kann aber zu erheblichem Datenschaden führen. Besonders kritisch ist das Fehlen eines Patches. Organisationen sollten aktiv Workarounds implementieren und Patch-Verfügbarkeit verfolgen.

„`