„`html
Zusammenfassung
CVE-2026-45695 ist eine kritische Sicherheitslücke in Kopia, einem plattformübergreifenden Backup-Tool für Windows, macOS und Linux. Die Schwachstelle ermöglicht es Angreifern, über unauthentifizierte HTTP-Anfragen beliebige Befehle auszuführen. Der CVSS-Score von 9.8 unterstreicht die kritische Natur dieser Vulnerabilität.
Betroffene Systeme
Betroffen sind alle Kopia-Versionen vor 0.23.0 auf allen unterstĂĽtzten Plattformen:
- Windows
- macOS
- Linux
Das Risiko ist besonders erhöht bei Systemen, die mit der Option –without-password gestartet wurden, da dies die Authentifizierung deaktiviert.
Technische Details
Die Vulnerabilität basiert auf mehreren zusammenhängenden Schwachstellen:
Authentifizierungsbypass: Der Endpunkt /api/v1/repo/exists akzeptiert unauthentifizierte Anfragen, wenn der Server ohne Passwort läuft.
Command Injection: Durch die Übergabe von manipulierten SFTP-Speicherkonfigurationen mit externalSSH: true und sshArguments Parameter können Angreifer beliebige Befehle injizieren.
BefehlsausfĂĽhrung: Der Parameter -oProxyCommand wird an OpenSSH weitergeleitet und ermöglicht die AusfĂĽhrung von Systemkommandos durch exec.CommandContext(„ssh“).
Ein Angreifer kann somit Remote Code Execution (RCE) mit den Privilegien des Kopia-Prozesses erreichen.
Empfohlene Massnahmen
- Sofortiges Upgrade: Aktualisierung auf Kopia Version 0.23.0 oder höher ist zwingend erforderlich
- Temporäre Mitigation: HTTP-Server nur mit Authentifizierung starten (ohne –without-password Flag)
- Netzwerk-Segmentierung: HTTP-API nur aus vertrauenswürdigen Netzwerken zugänglich machen
- Firewall-Regeln: Zugriff auf Port der Kopia HTTP-API einschränken
- Monitoring: Protokollierung und Überwachung verdächtiger Zugriffe auf /api/v1/repo/exists implementieren
Bewertung
CVSS Score: 9.8 (Critical)
Angriffsvektor: Network (keine lokale Authentifizierung erforderlich)
Auswirkung: Vollständige Systemkompromittierung möglich
Diese SicherheitslĂĽcke erfordert sofortige Aufmerksamkeit und stellt eine erhebliche Bedrohung fĂĽr alle betroffenen Systeme dar, insbesondere fĂĽr produktive Backup-Infrastrukturen.
„`