🟠 CVE-2026-10054: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-10054 beschreibt eine kritische Authentifizierungslücke in Eclipse Theia ab Version 1.8.1. Der Browser-Backend exponiert privilegierte Terminal-RPC-Funktionen über ungeschützte WebSocket-Verbindungen, wodurch Angreifer aus der Ferne beliebige Betriebssystem-Befehle ausführen können.

Betroffene Systeme

Betroffen sind Eclipse Theia Instanzen in Version 1.8.1 und später, insbesondere:

• Lokale Entwicklungsumgebungen mit Theia-Server
• Hosted oder Tunnel-basierte Deployments ohne externe Authentifizierung
• Systeme ohne konfiguriertes THEIA_HOSTS Allowlist
• Installationen mit Standard-Konfiguration

Technische Details

Die Schwachstelle basiert auf mehreren Sicherheitsmängeln:

Origin-Validierung: WebSocket-Verbindungen zu /services/shell-terminal und /services/terminals/:id werden akzeptiert, wenn der Origin-Header fehlt oder keine THEIA_HOSTS-Whitelist konfiguriert ist (Standard).

Socket.IO-Integration: Das System vertraut einem client-kontrollierten fix-origin Header, den ein Angreifer manipulieren oder auslassen kann. Dies hebelt die Origin-Validierung aus.

Angriffsablauf: Eine bösartige Website öffnet das /services WebSocket-Namespace, erstellt ein Terminal, verbindet sich mit dem Datenkanal und führt beliebige OS-Befehle mit Theia-Berechtigungen aus.

CVSS-Score 8.8 (High) reflektiert die Remote-Ausführbarkeit ohne Authentifizierung und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Empfohlene Massnahmen

• Sofortige Deaktivierung von Theia-Instanzen bis zur Verfügbarkeit eines Patches
• Implementierung strikter Firewall-Regeln für WebSocket-Zugriffe
• Konfiguration einer THEIA_HOSTS-Whitelist mit expliziten erlaubten Origins
• Einsatz von Reverse-Proxies mit Origin-Validierung vor Theia
• Überwachung von WebSocket-Verbindungen zu /services auf verdächtige Aktivitäten
• Regelmäßige Überprüfung von Terminal- und Command-Execution-Logs

Bewertung

Schweregrad: High (CVSS 8.8)
Angriffsvektor: Netzwerk, unauthentifiziert
Verfügbarkeit: Kein Patch verfügbar
Die Schwachstelle erfordert sofortige Mitigationsmaßnahmen. Ein Patch ist in Entwicklung und wird erweiterte Same-Origin-Validierung, SameSite=Strict Cookies und gehärtete Terminal-Optionen implementieren.

„`