Steve (Rancher): Fehlende TLS-Zertifikatsprüfung ermöglicht Man-in-the-Middle-Angriffe
Zusammenfassung
Steve, eine Go-Bibliothek, die Rancher für seine Benutzeroberfläche und das Weiterleiten von Anfragen verwendet, prüfte standardmässig bei TLS-Verbindungen das Zertifikat des Remote-Servers nicht. Ein Angreifer, der den Datenverkehr abfangen kann, könnte sich als Server ausgeben und Dienste angreifen, die Steve verwenden. Laut Advisory benötigt ein Angreifer einen privilegierten Zugang in der lokalen Rancher-Cluster und die nicht standardmässige Einstellung ui-offline-preferred auf remote, um die Rancher-Oberfläche zu übernehmen.
Betroffen
- Steve (Go-Modul github.com/rancher/steve) 0.2.0 bis vor 0.2.1
- Steve 0.3.0 bis vor 0.3.3
- Steve 0.4.0 bis vor 0.4.4
- Steve 0.5.0 bis vor 0.5.13
- Die Standardkonfiguration der betroffenen Versionen ist laut CNA-Eintrag nicht verwundbar; ausnutzbar ist das Problem mit der nicht standardmässigen Einstellung ui-offline-preferred in Rancher.
Behoben in
- Steve v0.2.1
- Steve v0.3.3
- Steve v0.4.4
- Steve v0.5.13
- Zuordnung zu Rancher-Releases: Unbekannt.
Umgehung
- Die Standardeinstellung ui-offline-preferred (dynamic) beibehalten statt remote verwenden.
- Falls ein Update nicht möglich ist, Steve nur für die Verbindung zu vertrauenswürdigen Servern verwenden.
- Diese Massnahmen sind nur vorübergehend; das Update ist die eigentliche Behebung.
Ausnutzung
- Keine öffentlich bekannte Ausnutzung.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS-Wert: 0.00329.
Unsere Empfehlung
- Prüfen, ob Rancher oder das Steve-Go-Modul in Ihrer Umgebung eingesetzt wird, einschliesslich selbst entwickelter Go-Werkzeuge (go.mod).
- Steve auf eine korrigierte Version aktualisieren oder Rancher auf ein Release mit dem Fix aktualisieren; das Rancher-Release mit den SUSE-Advisories bestätigen.
- Sicherstellen, dass ui-offline-preferred nicht auf remote gesetzt ist.
- Einschränken, wer in der lokalen Rancher-Cluster Services erstellen darf.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-95fc-g4gj-mqmx github.com
- SUSE Bugzilla CVE-2023-32198 bugzilla.suse.com
- GitLab Advisory Database (Go module steve) advisories.gitlab.com
- Go vulnerability database GO-2025-3648 pkg.go.dev
- OSV GHSA-95fc-g4gj-mqmx osv.dev
- NVD mirror (vulners) CVE-2023-32198 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:20.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.