Octopus Server: Rechteerweiterung durch unzureichende Validierung unsicherer Äquivalenz
Zusammenfassung
Octopus Server enthält einen Fehler bei der Eingabevalidierung, der es einem authentifizierten Benutzer mit der Berechtigung zum Ändern von Rollen erlaubt, Zugriffsschutzmassnahmen zu umgehen und seine Rechte zu erweitern. Der Angreifer kann die integrierte Rolle abschwächen und sein eigenes Konto einem privilegierten Team hinzufügen. Voraussetzung ist ein gültiges Konto mit der Berechtigung zur Rollenänderung.
Betroffen
- Octopus Server 2023.2.x nach 2023.2.945 (das Herstellerdokument listet alle Versionen 2023.3.x bis 2025.x als betroffen)
- Octopus Server 2026.1.x vor 2026.1.11768
- Octopus Server 2026.2.x vor 2026.2.13408
- Octopus Server 2026.3.x vor 2026.3.15816
- Octopus Server 2026.4.x vor 2026.4.1480 (zum Zeitpunkt der Korrektur nur in Octopus Cloud verfügbar)
Hinweis: Der CVE-Eintrag nennt die Bereiche 2023.2.945 bis unter 2026.1.11768, 2026.2.0 bis unter 2026.2.13408 und 2026.3.0 bis unter 2026.3.15816. Für die genauen Bereiche ist das Sicherheitsdokument des Herstellers massgebend.
Behoben in
- Octopus Server 2026.1.11768 oder neuer
- Octopus Server 2026.2.13408 oder neuer
- Octopus Server 2026.3.15816 oder neuer
- Der Hersteller empfiehlt die neueste Version 2026.3.15875
- Octopus-Cloud-Instanzen wurden bereits aktualisiert.
Umgehung
Unbekannt. Der Hersteller gibt an, dass keine bekannte Schutzmassnahme existiert, und empfiehlt eine Aktualisierung so rasch wie möglich.
Ausnutzung
- Dem Sicherheitsteam des Herstellers sind keine öffentlichen Ankündigungen oder böswillige Nutzungen bekannt.
- CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
- Bei einer begrenzten Suche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Octopus-Server-Instanzen mit ihren genauen Build-Nummern erfassen.
- Betroffene Instanzen auf eine korrigierte Version oder auf die neueste Version 2026.3.15875 aktualisieren.
- Änderungen an Rollen und Teams prüfen, insbesondere an integrierten Rollen und privilegierten Teams, für den Zeitraum vor der Aktualisierung.
- Die Berechtigung zur Rollenänderung auf einen möglichst kleinen Kreis vertrauenswürdiger Administratoren beschränken.
- Prüfen, ob die Weboberfläche von Octopus Server von aussen erreichbar ist, und den Zugriff einschränken, sofern er nicht benötigt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Octopus Deploy Security Advisory 2026-11 advisories.octopus.com
- OpenCVE: CVE-2026-102478 app.opencve.io
- VulDB: CVE-2026-102478 vuldb.com
- Vulners VulnCheck/CISA ADP record: CVE-2026-102478 vulners.com
- CISA ADP Vulnrichment record: CVE-2026-102478 hol.org
- OffSeq Radar: CVE-2026-102478 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.