🟡 CVE-2026-14904: Medium Schwachstelle

„`html

Zusammenfassung

CVE-2026-14904 beschreibt eine Sicherheitslücke in AWS Research and Engineering Studio (RES), einer Open-Source-Lösung zur Verwaltung sicherer virtueller Desktops und Computing-Ressourcen auf AWS. Die Schwachstelle ermöglicht authentifizierten Benutzern, über symbolische Links beliebige Dateien auf der Cluster-Manager-Instanz auszulesen. Das Schweregrad wird mit CVSS 6.5 als mittelmäßig eingestuft.

Betroffene Systeme

Die Anfälligkeit betrifft AWS Research and Engineering Studio in Versionen vor 2026.06. Das Problem existiert auf Cluster-Manager EC2-Instanzen, die als Root-Prozess ausgeführt werden. Alle Systeme, die RES vor der genannten Version nutzen, müssen als potenziell gefährdet betrachtet werden.

Technische Details

Die Schwachstelle liegt in der Auth.GetUserPrivateKey API vor, die ein unsachgemäßes Link-Resolving vor dem Dateizugriff (CWE-59) aufweist. Ein authentifizierter Remote-Benutzer kann die SSH-Datei (~/.ssh/id_rsa) durch einen Symbolic Link ersetzen, der auf beliebige Dateien des Host-Systems verweist.

Da der Cluster-Manager-Prozess mit Root-Rechten läuft, sind alle vom Root-Benutzer lesbaren Dateien exponiert. Dies umfasst insbesondere:

• SSH-Schlüssel anderer Benutzer
• Anwendungskonfigurationsdateien
• Sensible Systemdateien

Der Angriffsvektor ist Netzwerk-basiert und setzt Authentifizierung voraus. Ein Angreifer mit gültigem Benutzeraccount kann die Schwachstelle ausnutzen, um vertrauliche Informationen zu exfiltrieren.

Empfohlene Massnahmen

Ein Patch ist aktuell nicht verfügbar. Dringende Maßnahmen sind erforderlich:

• Upgrade auf RES Version 2026.06 oder höher
• Beschränkung des Zugriffs auf die Auth.GetUserPrivateKey API
• Überwachung auf verdächtige Symbolic-Link-Aktivitäten
• Regelmäßige Überprüfung von SSH-Schlüsseldateien auf Anomalien

Bewertung

Die Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar, da die Kompromittierung von SSH-Schlüsseln und Konfigurationsdaten zu weiterreichenden Angriffen führen kann. Organisationen sollten umgehend upgraden und ihre Systeme überprüfen.

„`