Perforce P4 Search: Authentifizierungsumgehung über Standard-Token in Container-Images
Zusammenfassung
Perforce-P4-Search-Container-Images vor Version 2026.4.2 setzen das Authentifizierungs-Token des Dienstes auf einen öffentlich dokumentierten Standardwert. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann dieses Token nutzen, um die höchste Anwendungsberechtigung zu erlangen, was zur Ausführung beliebigen Codes und zur Kompromittierung des verbundenen P4-Servers führen kann. Die CISA-SSVC-Bewertung führt die Ausnutzung als keine und die Automatisierbarkeit als nein auf, die Schwachstelle ist jedoch netzwerkseitig erreichbar und erfordert keine Authentifizierung.
Betroffen
- P4-Search-Container-Images, Versionen 0 bis 2026.4.1 (Standardkonfiguration betroffen)
Behoben in
- P4 Search 2026.4.2 oder neuer (gemäss CVE-Eintrag). Die neueste Version auf dem Perforce-Portal prüfen, da eine separate P4-Search-Schwachstelle (CVE-2026-103508) laut Berichten in 2026.4.3 behoben ist.
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden. Ob das Setzen eines nicht standardmässigen Tokens die Schwachstelle entschärft, ist durch die Quellen nicht bestätigt.
Ausnutzung
- Status im CISA-Katalog known exploited vulnerabilities (KEV): in den Quellen nicht bestätigt; im CISA-Katalog direkt prüfen.
- Öffentlicher Proof of Concept: nicht verifiziert.
- Für die Ausnutzung genügen die Kenntnis des öffentlich dokumentierten Standard-Tokens und Netzwerkzugriff.
Unsere Empfehlung
- Prüfen, ob P4 Search in Ihrer Umgebung betrieben wird, und die Version des Container-Images bestätigen.
- Auf die neueste Perforce-P4-Search-Version aktualisieren, nicht nur auf 2026.4.2.
- P4 Search nicht aus dem Internet erreichbar machen; den Zugriff auf das interne Netzwerk oder bekannte Hosts beschränken.
- Nach dem Patchen von P4 Search die dort hinterlegten Zugangsdaten rotieren.
- Logs auf unerwartete Zugriffe auf P4 Search und den verbundenen P4-Server prüfen.
- Publikations- und Veröffentlichungsdaten im Hersteller-Advisory prüfen, da die Quellen voneinander abweichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Perforce Support Portal advisory for CVE-2026-100103 portal.perforce.com
- CVE List V5 record CVE-2026-100103 raw.githubusercontent.com
- SecurityOnline: Perforce P4 Search vulnerabilities securityonline.info
- DEV Community: P4 Search default service token analysis dev.to
- HOL Guard: CVE-2026-100103 hol.org
- CVE intel page CVE-2026-100103 cve.imfht.com
- Strix: CVE-2026-103508 www.strix.ai
- VulDB: CVE-2026-100103 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.