🔴 CVE-2026-45550: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-45550 ist eine kritische Autorisierungslücke in Roxy-WI Version 8.2.6.4 und älter. Die Schwachstelle ermöglicht es authentifizierten Benutzern, Überwachungskonfigurationen anderer Mandanten zu manipulieren. Der CVSS-Score von 9.1 unterstreicht die kritische Natur dieser Vulnerabilität.

Betroffene Systeme

Roxy-WI Version 8.2.6.4 und alle älteren Versionen sind betroffen. Roxy-WI wird zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern eingesetzt. Systeme, die diese Web-Interface-Lösung für Multi-Tenant-Umgebungen nutzen, sind besonders gefährdet.

Technische Details

Die Vulnerabilität liegt in der unzureichenden Autorisierungsprüfung des PUT-Endpoints /smon/check (app/routes/smon/routes.py:117-138). Die Funktion roxywi_common.check_user_group_for_flask() validiert zwar, dass der Aufrufer einer Gruppe angehört, prüft aber nicht, ob die Ziel-check_id dem Mandanten des Benutzers gehört.

Die nachgelagerten SQL-Update-Funktionen (update_smon, update_smonHttp, update_smonTcp, update_smonPing, update_smonDns in app/modules/db/smon.py:515-562) führen UPDATE-Statements ohne user_group-Filter aus. Dies steht im Kontrast zur DELETE-Implementierung (app/modules/db/smon.py:319-327), die korrekt WHERE id = ? AND user_group = ? nutzt.

Ein Angreifer kann durch Iteration über smon_id-Werte beliebige HTTP-, TCP-, Ping- oder DNS-Überwachungsprüfungen anderer Mandanten modifizieren.

Empfohlene Massnahmen

• Sofortige Einstellung der Roxy-WI-Nutzung oder Isolation betroffener Systeme
• Regelmäßige Überprüfung von Überwachungskonfigurationen auf unauthorized Änderungen
• Audit-Logs analysieren auf verdächtige PUT-Requests an /smon/check
• Auf Sicherheitspatches warten und umgehend einspielen
• Implementierung zusätzlicher Autorisierungsprüfungen auf Applikationsebene

Bewertung

Schweregrad: Critical (CVSS 9.1)
Angriffsvektor: Network
Status: Keine öffentlichen Patches verfügbar
Handlungsbedarf: Dringend

„`