🟠 CVE-2026-45549: High Schwachstelle

„`html

Zusammenfassung

Roxy-WI, eine Web-Interface-Lösung zur Verwaltung von HAProxy, Nginx, Apache und Keepalived-Servern, weist in den Versionen 8.2.6.4 und älter eine kritische Schwachstelle auf. Die Vulnerability CVE-2026-45549 ermöglicht authentifizierten Benutzern mit niedrigen Berechtigungen, systemd-Dienste auf beliebigen Servern zu kontrollieren und diese mit root-Rechten auszuführen.

Betroffene Systeme

Produkt: Roxy-WI
Betroffene Versionen: 8.2.6.4 und älter
Komponente: Agent Action Module (app/routes/smon/agent_routes.py, Zeilen 166-179)
Plattformen: Server mit HAProxy, Nginx, Apache oder Keepalived

Technische Details

Die Schwachstelle liegt in unzureichenden Autorisierungsprüfungen. Der Endpunkt @bp.post('/agent/action/<action>') implementiert nur JWT-Token-Validierung, verzichtet jedoch auf:

• Rollenbasierte Zugriffskontrolle (RBAC)
• Prüfung der Gruppenzugehörigkeit für den angeforderten Server
• Validierung des Parameters server_ip

Dies ermöglicht selbst Gastbenutzern (Rolle 4), systemd-Aktionen wie Start, Stop und Restart des roxy-wi-smon-agent Services auszuführen. Die Befehle werden über SSH-Credentials mit sudoers-Rechten ausgeführt, sodass eine Ausführung als root erfolgt.

Empfohlene Massnahmen

• Sofortmassnahmen: Zugriff auf das Roxy-WI-Interface einschränken, nur vertrauenswürdigen Benutzern authentifizieren
• Netzwerk-Segmentierung: Roxy-WI-Instanzen isolieren, SSH-Zugriff auf Agenten beschränken
• Monitoring: Systemd-Aktivitäten auf verwalteten Servern überwachen
• Upgrade: Auf eine patched Version aktualisieren, sobald verfügbar
• Audit: Audit-Logs auf verdächtige Zugriffe prüfen

Bewertung

CVSS Score: 8.5 (High)
Angriffsvektor: Netzwerk
Anforderungen: Authentifizierung erforderlich
Impact: Kritisch – Root-Zugriff auf verwaltete Server möglich
Patch-Status: Kein öffentlicher Patch verfügbar

„`